{"id":113001,"date":"2024-03-06T12:00:00","date_gmt":"2024-03-06T12:00:00","guid":{"rendered":"https:\/\/www.mafr.fr\/actualites\/faire-usage-de-sa-position-pour-participer-a-la-re-2\/"},"modified":"2026-09-23T12:06:03","modified_gmt":"2026-09-23T12:06:03","slug":"building-compliance-structure-credible-effects","status":"publish","type":"post","link":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/","title":{"rendered":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator"},"content":{"rendered":"

This article explains the Compliance Obligations of companies. Delving into the mass of compliance obligations, it uses the method of classification of those that are subject to an obligation of result and those that are subject to an obligation of means. He justifies the choice of this essential criterion, which changes the objects and burden of proof of companies that are subject to an obligation of result when it comes to setting up "compliance structures" and are subject to an obligation of means when it comes to the effects produced by these compliance structures. The article then goes on to analyse the various bodies of compliance regulations ("Sapins 2", "Vigilance", CSRD, DSA, NIS2, DMA, DORA, AML-FT, and so on) and the technical compliance obligations they impose, dividing them into obligations of result or obligations of means, depending on the texts1<\/a><\/sup>Le présent document de travail reproduit d'une façon exhaustive les dispositions des règlements, directives, règlements et autres corpus contraignants, ce qui permet au lecteur d'avoir à sa disposition les textes précis visés. Ces textes ainsi reproduits ne figureront pas dans l'article publié dans l'ouvrage L'obligation de compliance.<\/em>

\r\n\r\n <\/span>. This table of positive law, with reference to all the articles of the texts2<\/a><\/sup>Ce travail très important et très précieux pour toutes les personnes impliquées dans l'élaboration et la mise en oeuvre des Outils de compliance, ainsi que les contentieux systémiques qui en naissent, n'a été possible que grâce au travail d'Alex Nicollet, junior editor <\/em>du Journal of Regulation & Compliance (JoRC)<\/em> qui a procédé à la recherche systématique dans tous les corpus de Compliance et à leur classement au regard des différents types d'obligations de compliance requises. Qu'il en soit ici vivement remercié.<\/span> makes it possible to show that in positive law the Compliance Obligation has above all an evidential dimension, which is developed in the third part of the article: the company must show that it has set up the compliance structures (obligations of result) required by the texts and it is up to third parties who criticise it for the unsatisfactory effects that these structures would have produced according to them) to show that there is a fault or negligence on the part of the company (obligation of means)<\/p>\n

1. <\/strong><\/span>The need for the Compliance Obligation<\/strong><\/em> \ud83c\udfafSome companies are subject to a Compliance Obligation. One might ask why these companies (the large ones) and not another category, or even why not all companies, or even why not everyone. One may wonder why companies which are not subject to the legal system in which this obligation was issued are nevertheless subject to it. You might wonder why they are obliged to do this or that, but not other things, since it is generally important for rules to be effective. Because we don't understand the contours of this Compliance Obligation, observers suspect arbitrariness, a seizure of power, a kind of war, a confrontation that seems all the more 'lawless'. It would be all the more inadmissible to be 'forced' to do so because this confused constraint takes legal form. The spectrum of positions is very broad: some maintain that there should be a more imperative Compliance Obligation, with colossal sanctions and obligations on the States themselves to act, while others maintain that there should be no obligation at all, with only Ethics being acceptable.<\/p>\n

It would appear that all these discussions will only have a firm footing if the Compliance Obligation is defined.<\/p>\n

From an examination of all the positive regulations that applies to so many scattered obligations that are recognised as being "compliance obligations", expressly named as such, and whose nomenclature will be drawn up later\ud83d\udcce3<\/a><\/sup>d'une façon analytique, I. ... ; d'une façon synthétique, II .....<\/span>, the following emerges: the Compliance Obligation entrusts those subject to it with the construction of Compliance Structures that produce credible effects with regard to the Monumental Goals targeted by the Legislator<\/strong>.<\/p>\n

The purpose of this study is to establish this definition by taking it directly from positive law.<\/p>\n

Indeed, this definition takes account of all positive law. It makes it possible both to designate in a single unity all the various mechanisms that are technically identified as coming under Compliance Law and to exclude obligations that do not come under it\ud83d\udcce4<\/a><\/sup>et qui relèvent simplement du fait d'obéir à la loi, d'exécuter ses engagements contractuels. Car sinon tout devient obligation de compliance, le Droit de la Compliance n'étant alors lui-même que le Droit lui-même en ce qu'il se caractérise par le fait qu'il contraint. Sur ce point de base, mafr, Le Droit de la Compliance, 2016.<\/span>.<\/p>\n

Subsequently, in a secondary manner, disputes may clearly arise, to contest or approve the existence of such an Obligation, to propose that its force be altered or its constraint increased, to propose that its modalities be multiplied, to propose that the actors be given more or less control over it, to propose that new subjects be designated or those subject to it be removed, to propose that its scope be modified, to propose that its sources be ranked or articulated, to propose that the number of sources be restricted, etc.<\/p>\n

To put all this together and avoid getting lost in it, we need to start with a simple, clear definition. Positive law gives us that definition. The definition that emerges from positive law is always the same: the legislator (in the formal sense o author of regulations) requires subjects of law to put in place or contribute to the operation of a Compliance Structure to produce Effects, in particular behaviours, that will converge towards the achievement of the Monumental Goals that this legislator aims to reach  in Systems that are crucial for the Future.<\/strong> <\/p>\n

However, even though it is provided by an examination of all positive law, this definition of the Compliance Obligation is not clearly expressed, either by the texts, which are always specific, or by the authors, who are often attached to a particular technical compliance obligation from which they will draw a general definition, against which different specific obligations will provide a dissonance, or even a contradiction, discrediting the general definition proposed.<\/p>\n

So, from a specific example to a stated generality, with everyone having his\/her own and claiming only a specific compliance obligation, depending on whether you read one or the other, companies would be obliged to show that they are actively complying with all the applicable regulations, or else… at the other end of the spectrum, they would have to exercise an immense power, that of setting their own rules, the content, scope and subjects of which they would determine, at this other end of the spectrum, they would be exercising an immense power, that of autonomously setting their own rules, the content and scope of which they would determine, and who would be subject to them – themselves as well as others.  Either they would be subject to an obligation backed by the force of Criminal Law, or they would give concrete expression to the desire to do the right thing in an ethical impulse for which they would be answerable only to the conscience of individuals and the effect of reputation.<\/p>\n

In the absence of convergence for a general definition of Compliance Obligation, we end up saying that there are as many definitions as there are cases, that we have to be 'pragmatic', that it is all very 'complex' and that without a unified definition, we will see what the next Judge, whether French, Italian, British, Dutch, European, American or other, will say depending on the case and his or her mood. This increases the fear of the Judge.<\/p>\n

Hope then turns to algorithms, because by providing algorithmic power with all the cases that have already occurred and all the judicial decisions that have already been made by the various bodies, we could, by probability, know what the future decision will be. In the absence of understanding and mastery of the Compliance Obligation. Algorithms therefore appear to be the only hope for Compliance…, for which we have despaired of understanding anything.<\/p>\n

The purpose of this study, and of this book, is the opposite.<\/p>\n

As the Law must remain a human affair and present and future situations must not be produced solely by past solutions, which may be inadequate, or solely by projections into the future using probabilistic calculations, the Compliance Obligation<\/em> must be clarified and unified.<\/p>\n

 <\/p>\n

It can be done. <\/p>\n

The current state of confusion is due to a number of obstacles that must first be identified in the Prolegomena, which are necessary to overcome them.<\/p>\n

 <\/p>\n

 <\/p>\n

PROLEGOMENA: THE OBSTACLES TO A CLEAR AND UNIFIED DEFINITION OF THE COMPLIANCE OBLIGATION <\/strong><\/span><\/p>\n

 <\/p>\n

2. <\/strong><\/span>The first reason why the clarity and simplicity of the Compliance Obligation is not perceived: the nascent state of Compliance Law<\/strong><\/em> \ud83c\udfaf In order to define, give concrete form to and ensure respect for the Compliance Obligation incumbent on companies, and in order to maintain the ambition of being able to rely on the uniqueness of this Compliance Obligation in order to be able to easily deduce its regime, it would be necessary to have at one's disposal a concept that has already been solidly built by the Law. But we do not have such a luxury when it comes to the Compliance Obligation: because Compliance Law is itself still an emerging branch of the Law, on the definition of which disputes continue to arise, giving rise to a new type of litigation which is itself emerging\ud83d\udcce5<\/a><\/sup>mafr, Le contentieux systémique émergeant, 2024.<\/span>, one therefore hesitate as to what the resulting Compliance Obligation is. <\/p>\n

In practice, however, this is dramatic because the consequences of failing to comply with the Compliance Obligation are severe, with companies subject to it often protesting that they do not know the contours of what they are obliged to do. This uncertainty as to what the Compliance Obligation is, noted by all6<\/a><\/sup>Cambridge, Cambridge handbook, (citation à compléter)<\/span>, is nevertheless unavoidable. It is not even a defect, which would be evidence of some kind of malformation: this period of uncertainty constitutes a moment in the birth of a branch of Law7<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Births of a branch of Law: Compliance Law<\/a>,<\/em> 2023.<\/span>: because the Law of Compliance is in the process of emerging, the Obligation it generates for the players is still uncertain. But the more the branch of law is consolidated, the more these uncertainties will disappear. A little patience is needed for Rome to be built8<\/a><\/sup>Sur l'idée que l'écoulement du temps, notamment nécessaire à la construction de la jurisprudence, est nécessaire, est en lui-même un facteur de progrès, v. mafr, "Le devoir de vigilance : progresser", 2024.<\/span>.<\/p>\n

 <\/p>\n

3. <\/strong><\/span>The second reason why the clarity and simplicity of the Compliance Obligation is not perceived is that there are so many compliance obligations in so many different sectors. <\/strong><\/em>\ud83c\udfaf It is by the criterion of subjection that we tend to identify a compliance obligation: the greater the force of the constraint, the more we identify a "compliance" mechanism. Compliance is therefore still usually associated with Criminal Law9<\/a><\/sup>même si c'est pour s'émouvoir que ce Droit pénal qui ordonne et oblige se mâtine, voire se dénature, lorsqu'il incorpore des outils de compliance qui relèvent davantage de l'accord. Sur cette question, v.G. Boissonnie, ..., in Les buts monumentaux.... ; <\/em>La CJIP est ainsi l'objet de nombreuses interrogations,  . par ex., S. -P. Cabon, ..., in Compliance et droits de la défense, <\/em><\/span>. But it is now accepted that these various compliance obligations are rooted in all branches of Law. This makes it difficult to see Compliance as being unique, as long as it is not confined to one branch of Law, which may in practice fall within the remit of a specific sort of courts (the criminal court, repressive administrative structures) and an established body of academic knowledge (in particular Criminal Law and Administrative Law, Compliance being presented simply as a sort of complement that would modernise them).<\/p>\n

Moreover, within all branches of Law, there are multiple compliance obligations that are difficult to classify10<\/a><\/sup>C'est l'objet même de la première partie de cette étude que de les classer, afin de les maîtriser. v. n°00 et s.<\/span>. To take the example of an economic chain of activities, International Law, Contract Law, Company Law, Competition Law and Distribution Law, Labour Law, all have points of contact with the Compliance Obligations that are generated, in particular by the way in which the ordering company must take care of the way in which the people who work, employees, collaborators, suppliers, etc., are treated throughout the chain. This obligation permeates the "value chain" (a managerial concept)11<\/a><\/sup>Sur l'articulation entre les notions managériales et les notions juridiques, v. J.-Ph. Denis et N. ..., ..., et E. Maclouf, ..., in ....L'obligation de compliance, <\/em><\/span> but the branches of Law segment the uniqueness to which the concern for the individual expressed by the legislator refers. This can certainly be overcome since the Law, being itself a system, functions by articulating the various branches12<\/a><\/sup>Sur l'articulation que l'Obligation de Compliance requiert avec les diverses branches du Droit, v. (citer les contributions de la partie de l'ouvrage à ce propos)<\/span>, but it nevertheless constitutes an obstacle to achieving a single definition of the Compliance Obligation overarching the branches of the Law13<\/a><\/sup>Comme le contrat, la propriété ou la famille y sont parvenus, ce pourquoi Carbonnier les désigna oomme les "piliers" du Droit.<\/span>.<\/p>\n

 <\/p>\n

 <\/p>\n

4. <\/strong><\/span>The third reason why the clarity and simplicity of the Compliance Obligation is not perceived is the large number of compliance obligations in a wide variety of sectors.<\/strong><\/em> \ud83c\udfaf In addition, the Compliance Obligation, which is naturally addressed to the crucial operators in the regulated sectors, concerns multiple sectors, ranging from the banking and financial sector, where it originated in the US as a reaction to the 1929 crisis14<\/a><\/sup>mafr, Compliance : hier, aujourd'hui, demain....<\/span>, to the energy sector, which is particularly involved in the climate system, to digital space, etc.  The specific nature of each sector results in obligations that are specific to it and are recalled by each regulator, each specialist in each area, each professional organisation, etc. The Compliance Obligation is also a requirement for the operators in the regulated sectors. Each regulator, each specialist in each area and each professional organisation is reminded of the specific obligations of each. It is undoubtedly the emergence of "Systemic Litigation" before the ordinary courts15<\/a><\/sup>mafr, Le contentieux systémique, 2024.<\/span>, which will bring all these sectors together by bringing back what they have in common, for example the systemic concern for sustainability to which companies have an obligation to contribute16<\/a><\/sup>V. les articles précurseurs de François Ancel : ..., in La juridictionnalisation de la compliance,<\/em>2023 ; ...,<\/em>in De la régulation à la compliance: quel rôle pour le juge ?<\/em> 2024.<\/span>.<\/p>\n

 <\/p>\n

5. <\/strong><\/span>The fourth reason why the clarity and simplicity of the Compliance Obligation is not perceived is the large number of compliance obligations contained in regulations that are far removed from one another. <\/span><\/strong><\/em>\ud83c\udfaf Linked to the 3 previous phenomena, specialists, articles, books and events have appeared, linked to a single regulatory corpus, detailing it and not mentioning the others. This is logical in that each regulatory blocks, a term that encompasses a whole variety of texts of varying scope, contains in itself numerous compliance obligations that are already difficult to memorise, understand and articulate. The finesse of the descriptions and analyses of the solutions, often carried out in ignorance of the analyses of the solutions adopted for the obligations, albeit similar, contained in other regulatory corpus, paradoxically makes it increasingly difficult to master a set of regulations which are becoming more and more autonomous from one another. The more knowledgeable we become, the more ignorant we become – it is  the current paradox of specialisation.<\/p>\n

The growing expertise developed in relation to each regulatory block therefore makes it increasingly difficult to issue a Compliance Obligation. The erudition of compliance obligations, greatly facilitated by algorithmic searches, is a centrifugal force that makes Compliance Obligations increasingly difficult to master. Unless you leave everything to the algorithms….<\/p>\n

 <\/p>\n

6. <\/strong><\/span>Fifth reason why the Clarity and Simplicity of the Compliance Obligation is not perceived: the absence of a primary distinction between obligations which are sanctioned solely by the fact that the person has not achieved the result and obligations which only require an effort to be made in relation to a set goal<\/strong><\/em>.  <\/strong><\/span><\/em>\ud83c\udfaf But the fifth reason is the biggest obstacle.  When you go from one compliance obligation to another, you get the impression that they have nothing in common. In some cases, the requirements are so stringent that the mere fact that the corporate or the person has not achieved the desired result means that they  will be condemned. Other compliance obligations simply require the legal personnel to do their best. So how can there be any uniqueness in all this? How can we find common ground between those who, wishing to subject companies that are not trusted, always rely on examples of the first type of obligations, and those who, pointing out that companies cannot do everything, rely on texts that only oblige them to take diligences? <\/p>\n

We end up thinking that positive law is badly designed… and that tomorrow legal systems will, in the wisdom of time, have resolved all these obstacles by themselves17<\/a><\/sup>Sur l'idée comme quoi il y aurait une "immaturité" (et qu'il faut donc attendre), v. Ch. Maubernard, .Le devoir de vigilance..., <\/em>2024.<\/span>. But it is precisely here and now that we need a clear and unified definition of the Compliance Obligation.<\/p>\n

 <\/p>\n

7. <\/strong><\/span>Practical need to overcome these obstacles here and now in order to define the Compliance Obligation<\/strong><\/em> \ud83c\udfaf In practice, however, we cannot simply wait for a better tomorrow when we will have agreed on the basic definitions. Precisely because Compliance obliges companies, and considerably so. But isn't it tragic to be obliged to do something but not know exactly what? <\/p>\n

In practice, therefore, we cannot wait for the branch of Law to reach maturity, even if we must do all we can to help it do so by producing the requisite security in practice18<\/a><\/sup>Voir par exemple à propos de la Vigilance, pointe avancée de la Compliance, mafr, "Vigilance : progresser", 2024.<\/span>, we must endeavour to overcome these obstacles, which may certainly be the result of deceitful strategies on the part of the various players involved (States, companies, stakeholders, etc.) but which more often than not have to do with the nature of things (time, economic and legal structures, etc.). Instead, we must trust positive law, which is already so dense that it is derogatorily referred to as a "regulatory mass", but which does contain lines of force, to identify the spirit that drives it. There is no such thing as law without a soul, as long as it is written by human beings19<\/a><\/sup>J.-L. Halperin, Une histoire des droits dans le monde <\/em>, 2024, notamment l'introduction qui développe <\/span>.<\/p>\n

 <\/p>\n

8. <\/strong><\/span>Starting from the legal regimes already developed, the Uniqueness and Simplicity of the Obligation de Compliance, a new type of obligation, will be highlighted. Plan.<\/strong><\/em> \ud83c\udfaf To do this, we propose to start from the systems that can be observed in positive law, by looking more particularly at the familiar pair in the Contract Law: 'obligation of means\/obligation of result', applied here to legal obligations and sometimes to contractual obligations (I<\/strong><\/span>). If we look at the texts and case law, it becomes clear that the various obligations are sometimes obligations of means and sometimes obligations of result, depending on whether they are about behavioural or about structural, and that they can only be obligations of means as soon as it is a question of the subject striving to achieve the Monumental Goals for which the obligation was enacted, the evidential obligation of a credible trajectory being the central obligation (II<\/strong><\/span>). Thus clarified, the Compliance Obligation finds its uniqueness, strength and simplicity, being bearable by the company which must implement it because the company is in a position to strive effectively, efficiently and effectively towards the Monumental Goals for which this new type of Obligation is generated (III<\/strong><\/span>).<\/p>\n

 <\/p>\n

I.  THE "OBLIGATION OF MEANS\/OBLIGATION OF RESULT" PAIRING, A WAY OF UNDERSTANDING THE COMPLIANCE OBLIGATION IN POSITIVE LAW<\/strong><\/span><\/p>\n

 <\/p>\n

9. <\/strong><\/span>Using positive law as a starting point for technical compliance obligations, whether of means or of result <\/strong><\/em>\ud83c\udfaf To avoid continuing to plunge into definitional disputes without ever getting out of them, let us reverse the method by starting from the oppositions observed in the intensity of the constraints arising from the texts. Let us study the legal regime itself, applied to the many obligations that everyone agrees qualify as compliance obligations, so diverse and so numerous, and through this find a way to induce the uniqueness of the Compliance Obligation. <\/p>\n

On the basis of positive law20<\/a><\/sup>Using the same method, we will start from the diversity of sources to nevertheless find the unicity of the Compliance Obligation: <\/span>, the following observation can be made: sometimes companies subject to the law are sanctioned simply because they have not achieved the result that the text has targeted, which therefore refers to what is often referred to in Contract Law as an obligation of result; in fact, companies are only penalised if a triggering event is constituted by a fault or negligence and the occurrence of this triggering event is proven by the person seeking the company's condemnation, which attests to an obligation of means. The issue is above all evidential21<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Judge, the Compliance Obligation and the Company. The Compliance Evidence System<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Jurisdictionalisation<\/a>, <\/em>2024.<\/span>. This evidentiary dimension, which determines whether or not the company will be convicted, shows that the qualification of result or means is essential: if the obligation is one of means, fault or negligence is an object of proof which must be demonstrated by the person making the complaint, whereas if the obligation is one of result, it is sufficient for the person making the complaint to show that the result was not achieved for the person against whom the reproach is made to be convicted. It's all there22<\/a><\/sup>Il en résultera que l'Obligation de Compliance est avant l'obligation probatoire. Sur cela, v. infra <\/em>n°00 et s.<\/span>.<\/p>\n

 <\/p>\n

10. <\/strong><\/span>The virtues of ranking<\/strong><\/em> \ud83c\udfaf Although it seems risky to transpose to legal obligations imposed by laws and regulations the expression and regime of contractual obligations23<\/a><\/sup>It may, however, be dangerous to apply to a legal obligation a distinction which is usual only in Contract Law. On the one hand, a person obeys the law without his consent being required (the social contract is sufficient to give rise to the principle of obedience); on the other hand, his subjection to the law undoubtedly benefits all the other subjects of law, who may rely on a breach but do not, for all that, become ‘creditors’ of the legal obligation in relation to the subject: they must demonstrate a triggering event constituted by a fault or negligence. The fact that some authors systematically describe firms as ‘debtors’ of the Compliance Obligation, leading to confusion between a legal obligation and a contractual obligation, then allows them to argue that third parties could benefit from compensation without having to prove damage, a triggering event and a causal link, since they would be like creditors. See on this point, \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Compliance Obligation, between Will and Consent: obligation on obligation works<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche (ed.), <\/em>\ud83d\udcd8<\/span>Compliance Obligation<\/em><\/a>, 2024.<\/span>, let us therefore start from this observation of a plurality of technical obligations, some of which are obligations of means and others obligations of result (A<\/strong><\/span>). This plurality does not constitute a definitive obstacle to establishing a single definition of the Compliance Obligation. On the contrary, it makes it possible to shed light on the matter, to trace the paths through what is so often described as a legal hodgepodge, an unmanageable "regulatory mass"24<\/a><\/sup>A quoi s'ajoute la grande diversité des sources. Mais cela aussi est maîtrisable. mafr, La volonté, le coeur, le calcul. Cerner l'Obligation de compliance<\/span>. Such a repertory also makes it possible to classify in three interrelated categories the multitude of obligations of result that are generated by the Compliance Obligation and to measure that it is necessary to exclude posing the latter as being itself globally an obligation of result (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. THE BREAKDOWN OF TECHNICAL COMPLIANCE OBLIGATIONS INTO OBLIGATIONS OF RESULT AND OBLIGATIONS OF MEANS<\/strong><\/span><\/p>\n

 <\/p>\n

11. <\/strong><\/span>Maintain and improve behaviours on an ongoing basis with a view to achieving the goals set out in the legislation = obligation of means; implement the structures set out in the legislation  = obligation of result<\/strong><\/em> \ud83c\udfafIndeed, this essential difference between the mass of compliance obligations which are obligations of result and the mass of compliance obligations which are obligations of means, which permeates the entire evidentiary system of Compliance Law, does not, however, detract from the uniqueness of the Compliance Obligation which enables it to be defined.<\/p>\n

Insofar as the company obliged under Compliance Law participates in the realisation of the Monumental Goals that normatively underpin it25<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a> (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2023.<\/span>, a obligation imposed by regulations but possibly relayed by the contract26<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Compliance contract, compliance clauses<\/a>, 2022<\/span>, or even by ethics27<\/a><\/sup> v. <\/span>M.-A. Frison-Roche<\/a> , <\/span>\ud83d\udcdd<\/span>La volonté, le cœur et le calcul, les trois traits cernant l'Obligation de Compliance<\/a>,  <\/span>in<\/em> <\/span>M.-A. Frison-Roche<\/a> (dir.), <\/span>\ud83d\udcd5<\/span>Les Buts Monumentaux de la Compliance<\/em><\/a>, 2024.<\/span><\/span>, the obligation can only be an obligation of means, by virtue of this very teleological nature and the scale of the goals pursued, for example the happy outcome of the climate crisis or the desired effective equality between human beings. The result sought is both so ambitious and so distant that to retain anything other than an obligation of means when the result envisaged is of such magnitude and distance is tantamount to condemning all undertakings in advance, which is unacceptable. However, it is nonetheless the bearer of numerous obligations to achieve results, the role of which is essential and which must be clarified.<\/p>\n

Combining obligations to achieve results and provide resources with requirements for effectiveness, efficiency and effectiveness<\/p>\n

 <\/p>\n

12. <\/strong><\/span>Articuling obligations of result and obligations of means with requirements of effectiveness, efficacity and efficiency<\/strong><\/span> \ud83c\udfaf Indeed, this established principle leaves room for the fact that the behaviours required and the effects assessed are marked out by processes put in place by structural tools, most often legally described, for example the establishment of a vigilance plan or regularly organised training, which come under the criterion of the "Effectiveness<\/strong>" of Compliance: these are obligations of result. As such, a plan or programme must be adopted, training must be organised, an early alert system must be set up, etc. If this result is not achieved, the obligation is not fulfilled. Whereas the positive effects produced by these structural tools (i.e. plans, programmes, mapping, evaluation, training, etc.) – positive effects that refer not to effectiveness but to "Efficacity<\/strong>" – are obligations of means. <\/p>\n

For example, we can monitor the attendance of learners at training courses, which is contrôl of effectiveness<\/strong>, but we cannot demand that they obtain to pass on a skill, i.e. that the efficacity<\/strong> of the training. This is even more the case when the goal is to transform the system as a whole, i.e. to ensure that the system (banking, financial, climate, etc.) is sound, that there is a culture of equality (between human beings), and that everyone respects everyone else (preservation of the social pact): in this case, it is a question of preserving or even transforming the systems themselves, which is what efficiency<\/strong> is all about, and common sense dictates that an obligation of result should be ruled out and that an obligation to use one's best endeavours should be adopted. <\/p>\n

 <\/p>\n

13. <\/strong><\/span>The interweaving of obligations of means and obligations of results: the credibility of structures and processes (obligations of results) in generating the expected behaviours and effects with regard to the targeted goals (obligations of means): the Credibility<\/strong> <\/strong><\/span> \ud83c\udfaf This does not mean that the two masses of obligations, obligations of result and obligations of means, are watertight: on the contrary, there is in communication.  Indeed, it was in order to achieve this transformation of systems (digital security, sustainability of activity chains, halted climate degradation, preserved energy sovereignty, culture of respect between human beings, etc.) that regulations initially imposed on companies, through obligations of results, the adoption of structures and processes: the "effective" conditions were thus created for the emergence of "efficace" behaviours so that systems were preserved from risks over the long term and improved "efficiently"28<\/a><\/sup>Sur le caractère central de la crédibilité, v. infra <\/em>n°00 ; v. aussi mafr, ... (conf. d'octobre 2024)<\/span>. <\/p>\n

 <\/p>\n

14. <\/strong><\/span>The uniqueness of the Compliance Obligation through the continuum between structures and processes (obligation of result), on the one hand, and behaviours and cultures (obligations of means), on the other hand, a continuum which takes its meaning from the Compliance Monumental Goals <\/strong><\/em>\ud83c\udfafThe Compliance Obligation thus appears unified because gradually, and whatever the various compliance obligations in question, their intensity or their sector, the structural prerequisites of the process29<\/a><\/sup>Ch. Lapp, in Les buts monumentaux de la compliance<\/span> of the Compliance Obligation are techniques of result which the Law, in particular through the Judge30<\/a><\/sup>mafr (dir.), La juridictionnalisation de la compliance<\/em><\/span>, will require them to be done but will not require anything more, whereas striving towards the achievement of the aforementioned Monumental Goals will be an obligation of means, which may seem lighter, but corresponds to an immeasurable ambition, in that it is on a par with these Goals31<\/a><\/sup>mafr, Les buts monumentaux, coeur battant du droit de la compliance....<\/span>: the company will have to rely on its structures, for example a training structure, to go further, for example to ensure that the people in its care understand what they have been taught, aiming ultimately at system efficiency, for example that the people thus educated spread a culture of respect for others, referring in Europe to an ambition for civilising systems, especially the digital one 32<\/a><\/sup>mafr (dir.), L'europe de la compliance...<\/em><\/span>.<\/p>\n

 <\/p>\n

15. <\/strong><\/span>What companies, authorities and stakeholders have to prove<\/strong>\ud83c\udfaf The result of this linkage is that companies must show not so much or only that they have followed the processes correctly (result) but that this has produced positive and expected effects33<\/a><\/sup>mafr, .... prolégomènes du système probatoire de la compliance, ...<\/span>  which converge with the goals sought by the legislator34<\/a><\/sup>mafr, obligation sur obligation vaut<\/span>. They must also show that the structures put in place were and are capable of producing these expected and required effects with regard to the Monumental Goals: this Credibility requirement always brings us back to the evidential dimension of the Obligation of Compliance .<\/p>\n

 <\/p>\n

B. THE INADEQUACY OF A COMPLIANCE OBLIGATION CONCEIVED AS A GLOBAL OBLIGATION OF RESULT<\/strong><\/span><\/p>\n

 <\/p>\n

16. <\/strong><\/span>The risk of making the Compliance Obligation "unbearable" by unifying it as a global obligation of result<\/em><\/strong> \ud83c\udfafTo ignore these distinctions, this gradation and this articulation would have very serious practical consequences. Indeed, transforming the Obligation of Compliance in its principle and all its modalities into an obligation of result, whereas Compliance Law takes its normativity from the Monumental Goals targeted, which attaches to it a very great ambition35<\/a><\/sup>\ud83d\udd74<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Compliance Monumental Goals, beating heart of Compliance Law<\/a>, in<\/em> M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2022.<\/span>, namely the safeguarding of systems in the future36<\/a><\/sup>Donnant corrélativement une grande unité au "Contentieux systémique" qui en résulte. Pour la démonstration de cela, mafr, Le contentieux systémique, 2024.<\/span>, would make no sense because no entity has the power to achieve such a goal here and now. The company that has put in place the required structures (plans, training, assessments, etc.) should only be asked to take reasonable care.<\/p>\n

 <\/p>\n

17. <\/strong><\/span>Vigilance's illustration of a link between structures imposed by an obligation of result (the plan) and efforts required by an obligation of means (due diligence).<\/strong><\/em> <\/em><\/strong><\/span>\ud83c\udfaf Indeed, this is expressly what the European Directive of 13 June 2024 on the duty of vigilance37<\/a><\/sup>dans cette note attachée au paragraphe 17 de l'étude noter quelques exemple des diligences raisonnables que la directive CS2D du 13 juin 2024 exige des entreprises, merci.<\/span> does. The company must show that it is making credible efforts by relying on the various structures it has put in place (policy, programme, training, assessment, etc.). In what is essential, i.e. not the processes, which are only a condition (albeit a necessary one), but in the behaviours and effects obtained on an ongoing basis it is obligations of means that the texts generate for the company. <\/p>\n

 <\/p>\n

18. <\/strong><\/span>Nobody can ask companies to save the world immediately by transforming the effort required into an obligation of result: we can ask them to contribute to making this ambition a reality: this is an obligation of means.<\/strong><\/em> \ud83c\udfaf In order to qualify the company's Compliance Obligation as an obligation of result, it would have to be argued that it is not a question of asking large companies to participate in the achievement of these goals of global general interest, but of demanding that they transform, and immediately, the world into a Garden of Eden where fraternity is a given and where no pollution occurs, all risk being contained. This is neither reasonable nor rational. It would be to condemn them in advance, because the failure, conceived in this way, would be a foregone conclusion..<\/p>\n

 <\/p>\n

19. <\/strong><\/span>In order to limit the burden on companies, Compliance must not be reduced to mechanical processes.<\/strong><\/em> \ud83c\udfaf To avoid this, a solution has been devised that would be just as damaging. The idea would be to abandon the definition of Compliance Law by its Monumental Goals, because it is too ambitious, too political, too idealistic, and simply require companies to obey the orders given by the legislator, to show that they obey all applicable regulations in every respect and can offer the political authorities and all stakeholders immediate satisfaction, unless they are penalised. Let them "tick the boxes" and get back to doing business.<\/p>\n

This reduces Compliance Law to "conformity". This system of obedience is illiberal and those concerned about freedoms reject this conception, which closes in on States, companies and the people who work in them like a vice38<\/a><\/sup>See for instance \ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Les entreprises "cruciales" et leur régulation<\/em> ("Crucial" companies and their regulation)<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span>A. Supiot (ed.), \ud83d\udcd7<\/span>L'entreprise dans un monde sans frontières. Perspectives économiques et juridiques<\/em><\/a>, 2015.<\/span>. But Compliance Law must not be reduced to conformity, which is only one of its tools. We refer here to comparative definitional work between the two to support this affirmation39<\/a><\/sup>notamment mafr (dir.), Les buts monumentaux de la compliance, <\/em>2022 ; Compliance et conformité : les distinguer pour mieux les articuler, 2024.<\/span>.<\/p>\n

 <\/p>\n

20. <\/strong><\/span>However, we should not take companies at their word that they will achieve the results desired by others or by themselves in the future.<\/strong><\/em> \ud83c\udfaf But as much as we cannot enslave companies with a total and blind obligation to obey, we cannot be satisfied with virtuous assertions by people who, on behalf of companies and through various declarations, say that tomorrow the result will be obtained, that later equality between human beings will be achieved, that in the long term the climatic balance will be restored, etc., and that we cannot ask more of them because we cannot answer for the future and we are only responsible for past things and not for future things, and that we can't ask any more of them because we can't answer for the future and we're only responsible for the past, not the future40<\/a><\/sup>Sur la difficulté des engagements, v. mafr, in L'obligation de compliance <\/em>; sur l'engagement comme procédé ayant tendance à remplacer à tort l'obligation probatoire, v. infra <\/em>n°00.<\/span>. <\/p>\n

It is indeed very difficult to incur liability for non-performance of an obligation when it relates to the future, since it is an oxymoron not to have achieved goals that lie in the future. This, too, is the specificity of Ex Ante liability engendered by Compliance Law41<\/a><\/sup>mafr, La Responsabilité Ex Ante, pilier du Droit de la Compliance, 2021.<\/span>. But this obstacle can still be overcome.<\/p>\n

 <\/p>\n

 <\/p>\n

21. <\/strong><\/span>Forcing the production of credible effects with regard to Compliance's Monumental Goals<\/strong><\/em> \ud83c\udfaf Companies should be obliged to show the effects that the Compliance Structures they have built because they are obliged to or because they wanted to42<\/a><\/sup>mafr, Obligation sur obligation vaut...<\/span>, have generated, as these effects ensure the credibility of the future effects announced. In this respect, the notion of Trajectory is essential and constitutes the heart of the Compliance Obligation. To sum up, the company has an obligation of result in setting up the compliance structure, an obligation of means in using this structure to achieve the Monumental Goals and an Evidential Obligation to show that, in view of the effects already produced, it is credible that the trajectory will enable it to make an effective contribution to this ambition, which may be achieved in the future.<\/strong> This evidential obligation will be developed in the remainder of this study43<\/a><\/sup>III. A, .... (mettre le titre) ; n°00   et s.<\/span>.<\/p>\n

 <\/p>\n

 <\/p>\n

II. A MULTIPLICITY OF OBLIGATIONS OF RESULT AND OBLIGATIONS OF MEANS, PARTS OF A SINGLE COMPLIANCE OBLIGATION<\/strong><\/span><\/p>\n

 <\/p>\n

22. <\/strong><\/span>Structural obligations as obligations of result; behavioural obligations as obligations of means<\/strong><\/em> <\/strong><\/em>\ud83c\udfafIf we look at the various regulations, it appears that the legislator sometimes gives orders to companies by requiring them to set up structures: these are obligations of result (A<\/strong><\/span>). But the effects produced on the behaviour of individuals or the behavioural obligations themselves constitute obligations of means (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. SETTING UP THE STRUCTURES REQUIRED BY LAWS AND REGULATIONS: OBLIGATIONS OF RESULT<\/strong><\/span><\/p>\n

23. <\/em><\/strong><\/span>The 3 types of compliance obligations of result: <\/strong><\/em>de plano <\/strong>obligations for the company to build the compliance structure, secondary obligations in the way it is built, obligations conditional on the occurrence of a situation<\/strong><\/em> <\/strong>\ud83c\udfafExamination of all the obligations to which Compliance Laws subject companies leads to distinguish three categories of obligations: obligations consisting of the company, de plano<\/em>, building a Compliance Structure (1<\/strong><\/span>), secondary obligations linked to this construction and operation of these structures (2<\/strong><\/span>) and finally obligations whose triggering is conditional on the occurrence of a particular situation (3<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. De plano<\/em> companies obligations of result to build the Compliance Structure<\/strong><\/span><\/p>\n

 <\/p>\n

 <\/p>\n

24. <\/strong><\/span>L'obligation de résultat de constituer, conserver et tenir un registre de données à caractère personnel <\/strong><\/em>\ud83c\udfaf<\/p>\n

L'article 6 du Règlement sur la protection des données à caractère personnel, dit "RGPD<\/strong>"44<\/a><\/sup>mettre l'article 6 RGPD ... ; mettre une ou deux doctrines....<\/span>, oblige l'entreprise assujettie à assurer ses fonctions de constitution, de conservation et de tenue du registre de données personnelles, à en désigner un "responsable"45<\/a><\/sup>c'est-à-dire une personne ayant la charge et le pouvoir : mafr, concevoir le pouvoir, 2021 ; ..... in Les puissances privées.<\/em>.., 2024.<\/span> et à recueillir le consentement des personnes pour en faire usage. L'obtention de ce consentement, la réalité de celui-ci en ce qu'il traduit la libre volonté de la personne concernée à laisser l'entreprise disposer de cette information, ainsi que la transmission de ces informations ont donné lieu à un corps si important qu'on considère souvent qu'il constitue un Droit à part entière : le Droit des données personnelles46<\/a><\/sup>Sur la constitution du Droit des données personnelles, v. par ex. ....<\/span>.<\/p>\n

En Droit européen le consentement est conçu comme l'expression de la libre volonté et doit porter également sur l'usage pour lequel la donnée est traitée. En outre, le traitement de certaines données personnelles est interdit. En ce qui concerne plus particulièrement l'obligation de sécurité que les lois font peser sur l'entreprise assujettie, il apparaît que la mise en place d'une structure assurant la sécurité du registre est requise, mais la CNIL par sa décision du 7 août 201447<\/a><\/sup>CNIL, sanct., 24 août 2014,<\/span> pose que l'effet attendu ne peut être une sécurité absolue : il est attendu de l'entreprise qu'elle ait pris un niveau de sécurité satisfaisant, le constat d'un faille ne suffisant pas à engager sa responsabilité. L'on appréhende à travers cette décision la distinction qui va apparaître dans tous les textes entre la mise en place de ce que l'on pourrait appeler des "structures crédibles"48<\/a><\/sup>The ability of these structures to produce the desired effect, for example the targeted security, is an evidential issue: who must prove the sufficiency of these structures? At first sight, because it is a legal requirement under the Compliance Obligation to which the firm is legally subject, it is up to the firm to prove the credibility of the structures it has put in place to produce the desired effect. But once proven, that is enough. The fact that there has been contrary behaviour, for example someone taking advantage of a security flaw, does not in itself incur liability.<\/span>, obligation de résultat, et la production d'effets par ces structures, obligation de moyens.<\/span> Il apparaît ainsi que la mise en place de la structure des registres et de leur garde est une obligation de résultat, la protection des personnes concernées contre l'usage sans leur volonté des informations est une obligation de moyens, mais il faut que dès le départ l'entreprise montre que la structure qu'elle a mis en place soit "crédible", c'est-à-dire soit suffisamment robuste et efficace pour produire raisonnablement cet effet-là, ce pour quoi l'entreprise fera par ailleurs diligence (obligations de moyens).<\/p>\n

 <\/p>\n

25. <\/strong>L'obligation de résultat de mettre en place une politique, un dispositif, des procédures internes, de gestion des risques, comprenant les différents Outils de Compliance visés par les lois  <\/strong><\/em>\ud83c\udfaf De nombreux textes de Compliance contiennent une obligation première consistant à imposer aux entreprises de mettre en place des dispositifs, politiques, procédures internes de gestion des risques systémiques que ceux-ci cherchent à prévenir. Les textes détaillent ensuite le contenu de cette obligation, qui correspond à l'adoption et la mise en oeuvre de divers Outils de Compliance : cartographie des risques, dispositif d'alerte, formation, etc. Ainsi, la loi "Sapin 2"<\/strong> oblige les entreprises assujetties à prendre des "mesures destinées à prévenir et à détecter la commission […] de faits de corruption ou de trafic d'influence"<\/span>\ud83d\udcce<\/span>49<\/a><\/sup>Loi Sapin 2, art. 17 : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II. [...] II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes :" le texte visant ensuite un code de conduite, une cartographie des risques, un dispositif de formation, etc.<\/span>. En matière financière, le règlement anti-blanchiment<\/strong> exige que les entreprises assujetties "disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité" aux règles anti-blanchiment et de gel des avoirs<\/span>\ud83d\udcce<\/span>50<\/a><\/sup>Règlement anti-blanchiment, art. 9, 1. : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur, et, en particulier: a) à atténuer et gérer efficacement les risques de blanchiment de capitaux et de financement du terrorisme identifiés au niveau de l’Union, de l’État membre et de l’entité assujettie; b) outre l’obligation d’appliquer des sanctions financières ciblées, à atténuer et gérer les risques d’absence de mise en œuvre et de contournement de sanctions financières ciblées.".<\/span>, le droit national imposant quant à lui la mise en place d'une "organisation" et de "procédures internes"<\/span>\ud83d\udcce<\/span>51<\/a><\/sup>CMF, art. L. 561-32 pour la lutte contre le blanchiment d'argent et le financement du terrorisme : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.", et L. 562-4-1 pour le gel des avoirs : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national. ".<\/span>. <\/span>Le RIA<\/strong> impose notamment aux fournisseurs de SIA à haut risque de mettre en place un "système de gestion de la qualité", lequel comprend un "système de gestion des risques", qui implique une identification et évaluation des risques, l'adoption de mesures appropriées, etc.<\/span>52<\/a><\/sup>RIA, art. 16 et 17, renvoyant au système de gestion des risques de l'art. 9, 1. : "1.   Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.".<\/span>. En matière de cybersécurité, le règlement DORA<\/strong> impose aux entités financières assujetties de disposer d'un "cadre de gestion du risque lié aux TIC", qui comprend notamment leurs stratégies, politiques et procédures pour "parer au risque lié aux TIC"<\/span>53<\/a><\/sup>Règlement DORA, art. 6 : "1.  Les entités financières disposent d’un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, faisant partie de leur système global de gestion des risques, qui leur permet de parer au risque lié aux TIC de manière rapide, efficiente et exhaustive et de garantir un niveau élevé de résilience opérationnelle numérique.
\r\n2.  Le cadre de gestion du risque lié aux TIC englobe au moins les stratégies, les politiques, les procédures, les protocoles et les outils de TIC qui sont nécessaires pour protéger dûment et de manière appropriée tous les actifs informationnels et les actifs de TIC, y compris les logiciels, le matériel informatique, les serveurs, ainsi que toutes les composantes et infrastructures physiques pertinentes, telles que les locaux, centres de données et zones sensibles désignées, afin de garantir que tous les actifs informationnels et actifs de TIC sont correctement protégés contre les risques, y compris les dommages et les accès ou utilisations non autorisés.".<\/span>. Elles doivent également adopter des politiques et procédures de sauvegarde et des procédures et méthodes de restauration et de rétablissement<\/span>54<\/a><\/sup>Règlement DORA, art. 12, 1. : "1.  Dans le but de veiller à la restauration des systèmes et des données des TIC en limitant au maximum la durée d’indisponibilité, les perturbations et les pertes, aux fins de leur cadre de gestion du risque lié aux TIC, les entités financières définissent et documentent: a) des politiques et procédures de sauvegarde qui précisent la portée des données concernées par la sauvegarde et la fréquence minimale de celle-ci, en fonction de la criticité des informations ou du niveau de confidentialité des données; b) des procédures et méthodes de restauration et de rétablissement.".<\/span>. La directive NIS 2<\/strong> prévoit quant à elle que les entités essentielles doivent prendre des  "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquelles elles ont recours, puis là encore détaille par la suite le contenu de celles-ci<\/span>55<\/a><\/sup>Directive NIS 2, art. 21, 1. "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.".<\/span>.<\/p>\n

Enfin, la loi "Vigilance"<\/strong> engendre d'une façon semblable une obligation de résultat contraignant l'entreprise à adopter formellement un plan comprenant expressément des Outils de Compliance que le législateur a listé. Les effets produits par ces outils relèvent quant à eux d'une obligation de moyens, comme cela sera développé plus loin, mais l'adoption même de ce plan et la présence de tel ou tel mécanisme de Compliance visé par la loi sont quant à eux, pour l'entreprise assujettie, une obligation de résultat<\/span>\ud83d\udcce<\/span>56<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan comporte les mesures de vigilance raisonnable propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation." ; v. infra n° 00 et n° 00.<\/span>. <\/span><\/p>\n

De la même façon, la CS3D<\/strong>, même si elle n'impose pas l'adoption d'un plan formel de vigilance, impose aux entreprises assujetties l'intégration explicite du devoir de vigilance dans leurs politiques et leurs systèmes de gestion des risques, ce qui correspond donc à une obligation de résultat. Les autres textes européens qui se réfèrent à des mécanismes de vigilance n'exigent pas cette présence explicite des outils de vigilance au sein de la politique générale de l'entreprise ni dans leur système de gestion des risques. Ce formalisme peut éventuellement paraître excessif si l'entreprise parvient à produire par ailleurs les effets attendus par le Législateur. <\/span><\/p>\n

 <\/p>\n

26. <\/strong><\/span>L'obligation de résultat d'adopter un programme, un plan, ou un code de conduite Ex Ante visé par la loi <\/strong><\/em>\ud83c\udfafPlusieurs lois exigent expressément des entreprises qu'elles adoptent de plano <\/em>un plan ou un programme. C'est le cas de la loi "Sapin 2"<\/strong> qui, dans son article 1757<\/a><\/sup>mettre le titre exact de la loi Sapin 2 et recopier (au moins en partie) son article 17 qui décrit l'adoption de la cartographie, du système d'alerte, etc.<\/span>  pose l'obligation pour l'entreprise d'adopter un "code de conduite<\/span>" puis détaille un ensemble de mesures et procédures à mettre en oeuvre<\/span>. Recopiant quasiment le mécanisme, la loi de 2017 dite "Vigilance"<\/strong>58<\/a><\/sup>donner le titre exact de la loi Vigilance ; mafr, ... in La société vigilante<\/em>, 2023.<\/span>, impose à l'entreprise d'<\/span>adopter un plan de vigilance, listant les dispositifs qu'il doit comprendre ou auxquels il doit se référer. Ainsi l'entreprise qui n'en adopte pas alors qu'elle est assujettie à ces lois doit justifier l'inexécution de son obligation légale. Dans le même sens, la directive CS3D<\/strong>, si elle n'impose pas à l'entreprise d'établir un plan de vigilance semblable à celui de la loi française de 2017, l'oblige a intégrer le devoir de vigilance dans ses politiques et systèmes de gestion des risques, et précise que cela doit se matérialiser notamment par un code de conduite\ud83d\udcce59<\/a><\/sup>CS3D, art. art. 7 : "[…] 2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants, et contient l’ensemble des éléments suivants : […] b) un code de conduite décrivant les règles et principes à suivre dans l’ensemble de l’entreprise et de ses filiales, et par les partenaires commerciaux directs ou indirects de l’entreprise conformément à l’article 10, paragraphe 2, point b), à l’article 10, paragraphe 4, à l’article 11, paragraphe 3, point c), ou à l’article 11, paragraphe 5".<\/span>.<\/span><\/p>\n

 <\/p>\n

27. <\/strong><\/span>L'obligation de résultat de mise en place d'un système d'alerte  <\/strong><\/em>\ud83c\udfaf Sous diverses appellations, de nombreux textes imposent à l'entreprise de mettre en place un système d'alerte, permettant à des personnes évoluant en son sein ou à des tiers de lui signaler de potentiels manquements, avec pour objectif que l'entreprise ainsi informée puisse dans un second temps agir. Tel est en premier lieu le cas de la loi "Sapin 2"<\/strong>, laquelle contient les règles d'une sorte de droit commun de l'alerte et impose par ailleurs à l'entreprise de mettre en oeuvre un dispositif d'alerte interne à destination de ses employés<\/span>60<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 2° Un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société".<\/span>. Le mécanisme d'alerte est également une des mesures à inclure dans le plan de vigilance et à mettre en oeuvre au titre de la loi de 2017<\/strong>\ud83d\udcce<\/span><\/span>61<\/a><\/sup>Loi vigilance \/ C. Com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span>. Il fait également partie des éléments composant le devoir de vigilance européen, les entreprises assujetties devant mettre en place un "mécanisme de notification et une procédure relative aux plaintes"<\/span>\ud83d\udcce<\/span>62<\/a><\/sup>CS3D, art. 5, f) : "établir et maintenir un mécanisme de notification et une procédure relative aux plaintes conformément à l’article 14" et art. 14, "Les États membres veillent à ce que les entreprises permettent aux personnes et aux entités énumérées au paragraphe 2 de déposer des plaintes auprès d’elles lorsque ces personnes ou entités ont des préoccupations légitimes quant aux incidences négatives réelles ou potentielles en ce qui concerne les activités des entreprises en question, les activités de leurs filiales ou les activités de leurs partenaires commerciaux dans les chaînes d’activités des entreprises.".<\/span>. Le DSA<\/strong> prévoit quant à lui l'obligation pour les fournisseurs de services d’hébergement de mettre en place des mécanismes de notification, permettant à toute personne de leur signaler un contenu illicite<\/span>63<\/a><\/sup>DSA, art. 16 : "Les fournisseurs de services d’hébergement mettent en place des mécanismes permettant à tout particulier ou à toute entité de leur signaler la présence au sein de leur service d’éléments d’information spécifiques que le particulier ou l’entité considère comme du contenu illicite. Ces mécanismes sont faciles d’accès et d’utilisation et permettent la soumission de notifications exclusivement par voie électronique.".<\/span>. Sans prévoir directement l'obligation pour l'entreprise de mettre en place un dispositif d'alerte ou de signalement spécifique, le DMA<\/strong> prévoit que les signalement de ses violations relèvent de la directive sur le lancement d'alerte, de sorte que le dispositif d'alerte établi par les entreprises en application de ce texte et de ses dispositions nationales de transposition (en France la loi "Sapin 2") permet de lancer l'alerte sur les manquements à ses dispositions. <\/span> En matière de lutte contre le blanchiment d'argent, le règlement européen relatif à la LCB-FT<\/strong> prévoit que les entreprises assujetties doivent établir des canaux de signalement interne\ud83d\udcce<\/span><\/span>64<\/a><\/sup>Règlement anti-blanchiment, art. 14, 2. : "Les entités assujetties établissent des canaux de signalement interne qui satisfont aux exigences énoncées dans la directive (UE) 2019\/1937.".<\/span>.<\/span> <\/span>Quant à la cybersécurité, les entités financières assujetties au règlement DORA<\/strong> ont l'obligation d'établir et mettre en oeuvre un processus de gestion des incidents liés aux TIC, lequel comprend notamment les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC<\/span>65<\/a><\/sup>Règlement DORA, art. 17, 3., d) : "3.  Le processus de gestion des incidents liés aux TIC visé au paragraphe 1: [...] d) établit des plans pour la communication à l’intention du personnel, des parties prenantes externes et des médias, conformément à l’article 14, et pour la notification aux clients, les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC, ainsi que pour la fourniture d’informations aux entités financières qui agissent en tant que contreparties, le cas échéant;".<\/span>. <\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

28. <\/strong><\/span>L'obligation de résultat d'établissement <\/span>d'une cartographie des risques  <\/strong><\/em>\ud83c\udfafLa cartographie des risques est un outil central en Droit de la Compliance<\/span>66<\/a><\/sup>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcddDresser des cartographies des risques comme obligation et le paradoxe des "risques de conformité"<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (dir.), \ud83d\udcd5<\/span>Les outils de la Compliance<\/em><\/a>, <\/em>2021.<\/span>, permettant à l'entreprise d'identifier les risques générés par son activité afin dans un second temps d'agir sur ceux-ci. Il est ainsi logique de retrouver l'obligation d'établir une cartographie des risques dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>, dont l'article 17 vise la cartographie des risques au titre des mesures et procédures que l'entreprise a l'obligation de mettre en place<\/span>\ud83d\udcce<\/span>67<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 3° Une cartographie des risques prenant la forme d'une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d'exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activités et des zones géographiques dans lesquels la société exerce son activité".<\/span><\/span>. C'est également le cas en matière de vigilance, la loi de 2017 <\/strong>prévoyant que la cartographie des risques est l'un des éléments que doit comprendre le plan de vigilance<\/span>68<\/a><\/sup>C. com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : 1° Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation".<\/span>, et la CS3D<\/strong> disposant qu'au titre de leur devoir de vigilance les entreprises assujetties ont l'obligation de recenser et évaluer les incidences négatives réelles ou potentielles, notamment en réalisant une cartographie<\/span>\ud83d\udcce<\/span>69<\/a><\/sup>CS3D, art. 5 : "1. Les États membres veillent à ce que les entreprises fassent preuve d’un devoir de vigilance en matière de droits de l’homme et d’environnement fondé sur les risques tel que défini aux articles 7 à 16 («devoir de vigilance») en prenant les mesures suivantes: [...] recenser et évaluer les incidences négatives réelles ou potentielles conformément à l’article 8 et, si nécessaire, hiérarchiser les incidences négatives réelles et potentielles conformément à l’article 9" et art. 8 : "1. Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour recenser et évaluer les incidences négatives réelles et potentielles découlant de leurs propres activités ou de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, conformément au présent article. 2.Dans le cadre de l’obligation définie au paragraphe 1, compte tenu des facteurs de risque pertinents, les entreprises prennent des mesures appropriées pour: cartographier leurs propres activités, celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, celles de leurs partenaires commerciaux, afin de recenser les domaines généraux dans lesquels les incidences négatives sont les plus susceptibles de se produire et d’être les plus graves; procéder, sur la base des résultats de la cartographie visée au point a), à une évaluation approfondie de leurs propres activités, de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, dans les domaines dans lesquels les incidences négatives ont été recensées comme étant les plus susceptibles de se produire et les plus graves.".<\/span>. <\/span>Quant à la CSRD<\/strong>, elle ne contient pas d'obligation expresse et directe pour l'entreprise d'établir une cartographie des risques. Toutefois, en obligeant l'entreprise à établir et publier un "rapport de durabilité" selon un principe de double matérialité, elle conduit l'entreprise à identifier et évaluer non seulement ses impacts sur les enjeux de durabilité (matérialité d'impact) mais encore les risques et opportunités en lien avec ces enjeux (matérialité financière). Ce faisant, le processus mis en oeuvre se rapproche d'une cartographie, si ce n'est des risques, plus largement des impacts, risques et opportunités. Par ailleurs, <\/span>s'il n'impose pas expressément l'établissement d'une cartographie des risques, le corpus de règles relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong> oblige l'entreprise assujettie à mettre en place des politiques et procédures internes devant comprendre une "réalisation et [une] actualisation de l’évaluation des risques à l’échelle de l’entité"<\/span>\ud83d\udcce<\/span>70<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1. Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...] 2. Les politiques, procédures et contrôles visés au paragraphe 1 comprennent : a) les politiques et procédures internes, y compris en particulier : i) la réalisation et l’actualisation de l’évaluation des risques à l’échelle de l’entité".<\/span><\/span>, ce qui en droit français se traduit par une obligation de définir et mettre en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées<\/span>71<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Le RGPD<\/strong>, quant à lui, ne pose pas d'obligation générale d'établissement d'une cartographie des risques. Toutefois, il prévoit que lorsque le traitement "est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques", alors le responsable de traitement doit préalablement effectuer une "analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel", cette analyse comprenant notamment une évaluation des risques pour les droits et libertés des personnes concernées<\/span>\ud83d\udcce72<\/a><\/sup>RGPD, art. 35, 1. et 7 : "1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. 

\r\n\r\n[…]

\r\n\r\n7. L'analyse contient au moins: […]

\r\n\r\nc) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1".<\/span>. Le DSA<\/strong> impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de recenser, analyser et évaluer tout risque systémique généré par la conception ou le fonctionnement de leurs services et systèmes connexes ou de l'utilisation de leurs services\ud83d\udcce73<\/a><\/sup>DSA, art. 34 : "1. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services.".<\/span>. Cela revient à leur imposer d'établir une cartographie des risques, laquelle n'a pas à être publiée mais doit être conservée en vue d'un éventuel contrôle par la Commission ou les autorités nationales\ud83d\udcce74<\/a><\/sup>DSA, art. 34, 3. : "3. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne conservent les documents justificatifs des évaluations des risques pendant au moins trois ans après la réalisation de ces évaluations, et les communiquent à la Commission et au coordinateur pour les services numériques de l’État membre d’établissement, à leur demande.".<\/span><\/span>. L'IA Act<\/strong> appréhende les différents systèmes d'intelligence artificielle à travers les risques qu'ils génèrent et adopte une approche fondée sur les risques générés.<\/em> Ainsi, pour les systèmes d'IA à haut risque, il est nécessaire d'établir un système de gestion des risques devant comprendre une identification et une analyse des risques que le système d'IA peut ou pourrait engendrer pour la santé la sécurité ou les droits fondamentaux\ud83d\udcce75<\/a><\/sup>IA Act, art. 9 : "1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.

\r\n\r\n2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na) l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination".<\/span>. De même, pour les modèles d'IA à usage général il convient d'identifier les risques systémiques qu'ils génèrent\ud83d\udcce76<\/a><\/sup>IA Act, art. 65 : "1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d’IA à usage général présentant un risque systémique:

\r\n\r\na) effectuent une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d’identifier et d’atténuer les risques systémiques;

\r\n\r\nb) évaluent et atténuent les risques systémiques éventuels au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de modèles d’IA à usage général présentant un risque systémique".<\/span>. En matière de cybersécurité, les fabricants de produits comportant des éléments numériques ont l'obligation d'entreprendre une évaluation des risques de cybersécurité associés à leur produit, afin de recenser les risques et exigences essentielles de cybersécurité pertinents\ud83d\udcce77<\/a><\/sup>Règlement cyberrésilience, dont l'article 13 impose notamment une évaluation des risques de cybersécurité liés à un produit comportant des éléments numériques.<\/span>. Spécifiquement p<\/span>our les entités financières, le règlement DORA<\/strong> impose quant à lui, sans mentionner expressément le terme "cartographie", d'identifier de manière continue toutes les sources de risque lié aux TIC et d'évaluer les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions "métiers" s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC\ud83d\udcce78<\/a><\/sup>Règlement DORA, art. 8, 2. : "2. Les entités financières identifient, de manière continue, toutes les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, et évaluent les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions «métiers» s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC. Les entités financières examinent régulièrement, et au moins une fois par an, les scénarios de risque qui ont des incidences sur elles.".<\/span>. Enfin, la directive NIS 2 <\/strong>impose aux entités essentielles et importantes de prendre des mesures de gestion des risques de cybersécurité, ce qui se traduit notamment par des politiques d'analyse et des évaluations des risques, sans qu'une cartographie stricto sensu<\/em> ne soit exigée\ud83d\udcce79<\/a><\/sup>Directive NIS 2, art. 21 : "2.   Les mesures visées au paragraphe 1 sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins: a)les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information; b)la gestion des incidents; c)la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises; d)la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs; e)la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités; f)des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité; g)les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité; h)des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement; i)la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs; j)l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

\r\n\r\n3.   Les États membres veillent à ce que, lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point d), du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. Les États membres veillent également à ce que, lorsqu’elles examinent lesquelles des mesures visées audit point sont appropriées, les entités soient tenues de prendre en compte les résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées conformément à l’article 22, paragraphe 1.".<\/span>. Là encore, c'est l'existence d'un telle politique qui constitue une obligation de résultat, non sa production d'effets. En dernier lieu, là encore sans aller jusqu'à exiger expressément une cartographie des risques, le règlement déforestation<\/strong> impose aux entreprises assujetties de récolter de l'information quant au respect des exigences du texte par les produits visés et d'évaluer le risque de non-conformité de ceux-ci, ce qui revient in fine<\/em> à exiger des opérateurs une forme de cartographie des risques\ud83d\udcce80<\/a><\/sup>Règlement déforestation, art. 9 sur la collecte d'information et art. 10 sur l'évaluation des risques : "1.   Les opérateurs vérifient et analysent les informations recueillies conformément à l’article 9 ainsi que tout autre document pertinent. Sur la base de ces informations et de cette documentation, les opérateurs procèdent à une évaluation du risque visant à déterminer s’il existe un risque que les produits en cause destinés à être mis sur le marché ou exportés ne soient pas conformes. Les opérateurs ne mettent pas les produits en cause sur le marché ni ne les exportent, sauf si l’évaluation du risque révèle l’existence d’un risque nul ou seulement négligeable que les produits en cause soient non conformes.".<\/span>.<\/span><\/p>\n

\n

 <\/span><\/p>\n<\/div>\n

29. <\/strong><\/span>L'obligation de résultat d'une procédure de connaissance du client (LCB-FT) <\/strong><\/em>\ud83c\udfaf <\/em><\/strong>En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement anti-blanchiment impose à l'entreprise assujettie d'adopter des politiques et procédures internes qui lui permet notamment d'être vigilante à l'égard de ses clients<\/span>81<\/a><\/sup>Règlement anti-blanchiment, art. 9, 2., a), iii) : "2.   Les politiques, procédures et contrôles visés au paragraphe 1 comprennent: [...] iii) la vigilance à l’égard de la clientèle aux fins de la mise en œuvre du chapitre III du présent règlement, y compris des procédures pour déterminer si le client, le bénéficiaire effectif, ou la personne pour le compte ou au profit de laquelle une transaction ou une activité est menée est une personne politiquement exposée ou un membre de la famille ou une personne connue pour être étroitement associée;".<\/span>. Le droit interne prévoit que l'entreprise assujettie est tenue d'appliquer des "mesures de vigilance" à l'égard de ses clients, au titre desquelles elle a notamment l'obligation de résultat de mettre en place des "dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme" ainsi qu'une "politique adaptée à ces risques"\ud83d\udcce<\/span>82<\/a><\/sup>CMF, art. L. 561-4-1, al. 1 et 2 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. De même, les organismes financiers ont l'obligation de mettre en place des dispositifs adaptés permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des avoirs constitue une obligation de résultat\ud83d\udcce<\/span>83<\/a><\/sup>ACPR, Commission des sanctions, 27 nov. 2012, n° 2011-03 : "Considérant que, selon le paragraphe 2.2 de l’article 11-7 du règlement n° 97-02 du CRBF susvisé, les banques doivent se doter de dispositifs adaptés à leurs activités permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des fonds, instruments financiers et ressources économiques ; que les mesures de gel ainsi visées sont aussi bien celles prises dans le cadre communautaire déjà mentionné que celles que peut prendre en complément le ministre chargé de l’économie en vertu de l’article L. 562-1 du COMOFI ; que l’aptitude des dispositifs (dont elles doivent se doter) à la détection des opérations litigieuses met à la charge des banques une obligation de résultat ;".<\/span>. Enfin, au titre de la loi "Sapin 2", l'entreprise assujettie doit établir une procédure d'évaluation des tiers, notamment de ses clients\ud83d\udcce84<\/a><\/sup>Loi Sapin 2, art. 17, II., 4° : "II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;".<\/span>.<\/span><\/p>\n

 <\/p>\n

30. <\/strong><\/span>L'obligation de résultat d'une procédure d'évaluation régulière des tiers <\/strong><\/em>\ud83c\udfafLa procédure d'évaluation des tiers est une obligation issue des lois de Compliance, qu'il s'agisse de la loi dite "Vigilance"<\/strong>, qui exige l'établissement d'une procédure d'évaluation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie\ud83d\udcce85<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] 2° Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie des risques".<\/span><\/span> ou<\/span> de la loi "Sapin 2"<\/strong>, qui prévoit également une telle procédure à son article 17, visant quant à elle les "clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques"\ud83d\udcce86<\/a><\/sup>Loi Sapin 2, art. 17, II. : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques".<\/span>. C'est également le cas en matière d'anti-blanchiment, le règlement anti-blanchiment qui prévoiyant des obligations d'évaluation des clients au titre de des mesures de vigilance que l'opérateur assujetti doit déployer à l'égard de sa clientèle<\/span>\ud83d\udcce87<\/a><\/sup>Règlement anti-blanchiment, art. 20.<\/span>, tout comme les dispositions de droit national88<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin la CS3D pose l'obligation pour les entreprises assujetties de procéder à des "évaluations périodiques" de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux<\/span>\ud83d\udcce89<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>.<\/span> En outre, la directive oblige les entreprises assujetties à recenser les incidences négatives réelles et potentielles non seulement de son activité mais encore de celle de ses filiales et partenaires commerciaux s'insérant dans leur chaîne d'activité, ce qui les conduit à mettre en place de telles procédures<\/span>\ud83d\udcce90<\/a><\/sup>CS3D, art. 8.<\/span>.<\/span><\/p>\n

 <\/p>\n

31. <\/strong>L'obligation de résultat de mettre en place une formation <\/strong><\/em>\ud83c\udfaf La formation est un outil central en matière de Compliance\ud83d\udcce91<\/a><\/sup>\ud83d\udd74\ud83c\udffbM.-A. Frison-Roche, \ud83d\udcddLa formation : contenu et contenant de la Compliance, in<\/em> \ud83d\udd74\ud83c\udffbM.-A. Frison-Roche (dir.), \ud83d\udcd5Les outils de la Compliance<\/em>, 2021.<\/span>, présent dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce92<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 6° Un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d'influence".<\/span>, du règlement anti-blanchiment <\/strong>du 31 mai 2024\ud83d\udcce93<\/a><\/sup>Règlement antiblanchiment, art. 12 : "Les entités assujetties prennent des mesures pour veiller à ce que les membres de leur personnel ou les personnes se trouvant dans une situation comparable dont la fonction l’exige, y compris leurs agents et distributeurs, aient connaissance des exigences découlant du présent règlement, du règlement (UE) 2023\/1113 et de tout acte administratif émis par tout superviseur, et de l’évaluation des risques à l’échelle de l’entité, ainsi que des politiques, procédures et contrôles internes en place dans l’entité assujettie, y compris en ce qui concerne le traitement des données à caractère personnel aux fins du présent règlement.

\r\n\r\nLes mesures visées au premier alinéa comprennent la participation des membres du personnel ou des personnes se trouvant dans une situation comparable, y compris des agents et distributeurs, à des programmes spécifiques de formation continue visant à les aider à reconnaître les opérations susceptibles d’être liées au blanchiment de capitaux ou au financement du terrorisme et à les instruire sur la manière de procéder en pareil cas. Ces programmes de formation sont adaptés à leurs fonctions ou activités et aux risques de blanchiment de capitaux et de financement du terrorisme auxquels l’entité assujettie est exposée, et sont dûment documentés.".<\/span>, ou bien encore des règles de droit national en matière de lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong>\ud83d\udcce94<\/a><\/sup>CMF, art. L. 561-34, al. 2 : "Dans le même but, elles mettent en place toute action de formation utile." et art. R.561-38-1 : "Les personnes mentionnées à l'article L. 561-2 s'assurent que les personnes participant à la mise en œuvre des obligations prévues au présent chapitre disposent d'une expérience, d'une qualification et d'une position hiérarchique adéquates pour exercer leurs missions. En outre, elles veillent à ce que ces personnes bénéficient de formations adaptées à leurs fonctions ou activités, à leur position hiérarchique ainsi qu'aux risques identifiés par la classification des risques mentionnée à l'article L. 561-4-1 et à ce qu'elles aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. ".<\/span> et de gel des avoirs\ud83d\udcce95<\/a><\/sup>CMF, art. R. 562-1 : "Les personnes mentionnées à l'article L. 561-2 veillent à ce que les personnels qui participent à la mise en œuvre des mesures mentionnées au premier alinéa bénéficient de formations appropriées et aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. Les agents mentionnés à l'article L. 523-1 et les personnes auxquelles les établissements de monnaie électronique ont recours en vue de distribuer de la monnaie électronique au sens de l'article L. 525-8 sont assimilés aux personnels des personnes mentionnées à l'article L. 521-1 pour l'application de ces dispositions."<\/span><\/span>. La CS3D<\/strong> mentionne les formations au titre des mesures de soutien qu'un opérateur assujetti doit fournir à un partenaire contractuel qui serait une PME, l'opérateur pouvant ainsi donner accès à des possibilités de formation\ud83d\udcce96<\/a><\/sup>CS3D, art. 10 et 11, rédigés en termes identiques sur ce point, v. pour l'article 10 : "2. Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins: [...] e) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement".<\/span>. Au titre du RGPD<\/strong>, les règles d'entreprise contraignantes doivent notamment comprendre une formation en matière de protection des données personnelles pour les employés ayant un accès permanent ou régulier à de telles données\ud83d\udcce97<\/a><\/sup>RGPD, art. 47, 2. n) : "2.  Les règles d'entreprise contraignantes visées au paragraphe 1 précisent au moins: [...] n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.".<\/span>. Le RIA<\/strong> impose quant à lui une obligation générale de maîtrise de l'IA, qui se traduit notamment par l'obligation pour les fournisseurs et déployeurs de prendre des mesures pour garantir, "dans toute la mesure du possible", "un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte"\ud83d\udcce98<\/a><\/sup>RIA, art. 4 : "Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.".<\/span> <\/strong>et des obligations de formation, par exemple du fournisseurs à l'égard du déployeur d'un SIA à haut risque\ud83d\udcce99<\/a><\/sup>RIA, art. 9, 5., c) : "5.   Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d’IA à haut risque sont jugés acceptables. Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à: [...] c) fournir aux déployeurs les informations requises conformément à l’article 13 et, éventuellement, une formation. ".<\/span>. <\/em>Comme le montre l'expression "dans […] la mesure du possible", l'atteinte du résultat visé, c'est à dire que la formation permette d'augmenter les connaissances et compétences des participants afin d'engendrer, dans un second temps, des comportements qui auront un effet positif sur le système, constitue une obligation de moyens. Seule la mise en place d'une formation constitue une obligation de résultat.<\/span> Enfin, en matière de cybersécurité, le règlement DORA<\/strong> impose quant à lui aux entités financières assujetties d'élaborer des "programmes de sensibilisation à la sécurité des TIC" ainsi que des "formations à la résilience opérationnelle numérique" et de les intégrer à leurs programmes de formation du personnel sous forme de modules obligatoires100<\/a><\/sup>Règlement DORA, art. 13, 6. : "6. Les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu’elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires. Ces programmes et formations sont destinés à tous les employés et aux membres de la direction et présentent un niveau de complexité proportionné à leurs fonctions. Le cas échéant, les entités financières incluent également les prestataires tiers de services TIC dans leurs programmes de formation pertinents conformément à l’article 30, paragraphe 2, point i).".<\/span>. <\/span><\/p>\n

Ainsi, si l'existence de la formation (effectivité) constitue une obligation de résultat, la propension de celle-ci à atteindre le but fixé (efficacité) – en l'occurrence l'acquisition de connaissances par les participants – et à produire dans un second temps des effets sur le système (efficience) relèvent quant à elles d'obligations de moyens.<\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

32. <\/strong>L'obligation de résultat de mettre en place un dispositif de contrôle interne, ou de suivi des mesures <\/strong><\/em>\ud83c\udfafLes entreprises ne doivent pas seulement adopter des "mesures" permettant de détecter, prévenir et le cas échéant remédier aux risques visés par les différents textes de Compliance, elles ont en outre l'obligation de contrôler la production d'effets par celles-ci, afin le cas échéant d'adapter lesdites mesures, les changer ou en adopter de nouvelles. C'est pourquoi les différents textes de Compliance obligent les entreprises à mettre en place des dispositif de suivi des mesures prises. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce101<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 8° Un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre."<\/span><\/span>, de la loi "Vigilance"<\/strong>\ud83d\udcce102<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] <\/span>5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité"<\/span> ou bien encore de la CS3D103<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>. L'IA Act<\/strong> prévoit quant à lui une procédure d'évaluation de la conformité fondée sur le contrôle interne, à laquelle doivent recourir certains fournisseurs de SIA à haut risque pour évaluer la conformité de celui-ci\ud83d\udcce104<\/a><\/sup>RIA, art. 43, qui renvoie à l'annexe VI : "1. La procédure d'évaluation de la conformité fondée sur le contrôle interne est la procédure d'évaluation de la conformité décrite aux points 2, 3 et 4.

\r\n\r\n2. Le fournisseur vérifie que le système de gestion de la qualité établi est conforme aux exigences de l'article 17.

\r\n\r\n3. Le fournisseur examine les informations contenues dans la documentation technique afin d'évaluer la conformité du système d'IA aux exigences essentielles pertinentes énoncées au chapitre III, section 2.

\r\n\r\n4. Le fournisseur vérifie également que le processus de conception et de développement du système d'IA et son système de surveillance après commercialisation prévu à l'article 72 sont cohérents avec la documentation technique.".<\/span>. Il en va de même pour le fabricant qui aurait à démontrer la conformité d'un produit comportant des éléments numérique au règlement cyberrésilience<\/strong>\ud83d\udcce105<\/a><\/sup>Règlement cyberrésilience, art. 32.<\/span>. Le règlement DORA impose quant à lui aux entittés financières assujetties de disposer d'un cadre de contrôle interne\ud83d\udcce106<\/a><\/sup>Règlement DORA, art. 5, 1. : "1.  Les entités financières disposent d’un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux TIC, conformément à l’article 6, paragraphe 4, en vue d’atteindre un niveau élevé de résilience opérationnelle numérique.".<\/span>. En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong> prévoit que les entreprises assujetties doivent mettre en place des mesures de contrôle interne\ud83d\udcce107<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...]".<\/span>, tout comme le droit national<\/strong>\ud83d\udcce108<\/a><\/sup>CMF, art. L. 561-2, I.  : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.".<\/span>, y compris en matière de gel des avoirs\ud83d\udcce109<\/a><\/sup>CMF, art. L. 562-4-1, I. : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national.".<\/span>. Le DSA<\/strong> comme le DMA<\/strong> obligent les entreprises assujetties à mettre en place une fonction de vérification de la conformité, chargé d'opérer un contrôle du respect du règlement\ud83d\udcce<\/span>110<\/a><\/sup>DMA, art. 28.<\/span>. Enfin, le règlement déforestation<\/strong> prévoit également la mise en place de mesures de contrôle interne, afin de détecter et prévenir le risque de non-conformité au règlement des produits en cause\ud83d\udcce111<\/a><\/sup>Règlement déforestation, art. 11, 2. : "2.   Les opérateurs mettent en place des stratégies, des contrôles et des procédures suffisants et proportionnés pour atténuer et gérer efficacement les risques détectés de non-conformité des produits en cause. Ces politiques, contrôles et procédures comprennent notamment:

\r\n\r\na)les pratiques en matière de gestion des risques de modèles, la production de rapports, la tenue de registres, le contrôle interne et la gestion de la conformité, y compris la désignation d’un responsable de la conformité au niveau de l’encadrement pour les opérateurs qui ne sont pas des PME;

\r\n\r\nb)une fonction d’audit indépendante chargée de vérifier les stratégies, contrôles et procédures internes visés au point a) pour tous les opérateurs qui ne sont pas des PME.".<\/span>. <\/span><\/p>\n

 <\/div>\n

2. Obligations de résultat secondaires dans la construction et le fonctionnement des structures de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

33. <\/strong><\/span>Obligation de concertation avec les parties prenantes : exigence de la loi Vigilance et de la CS3D ; absence d'exigence de la CSRD  <\/strong><\/em>\ud83c\udfafAfin de satisfaire son Obligation de Compliance, l'entreprise a besoin d'information. C'est à ce titre qu'il est courant de retrouver dans les textes des incitations, voire des obligations, de dialogue avec les parties prenantes. Ainsi, en matière de vigilance, si en application de la loi française dite "Vigilance"<\/strong> le plan de vigilance "a vocation à être élaboré en association avec les parties prenantes"<\/span>\ud83d\udcce<\/span>112<\/a><\/sup>C. com., art. L.225-102-1 : <\/span>"Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale".<\/span> – ce qui ne signifie pas co-construit – le mécanisme d'alerte qu'il comprend doit quant à lui être élaboré "en concertation avec les organisations syndicales représentatives"<\/span>\ud83d\udcce113<\/a><\/sup>C. com., art. L.225-102-1 : "4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span><\/span>, ce qui va plus loin que la simple association et "suppose une transmission d'éléments d'information et un échange de points de vue et de propositions sur la rédaction du contenu et la mise en oeuvre du mécanisme à établir, en vue, et donc en amont, de son élaboration"<\/span>\ud83d\udcce114<\/a><\/sup>CA Paris, La Poste.<\/span>. Dans le même sens, la CS3D<\/strong> impose une association des parties prenantes aux différents stades du devoir de vigilance, de la collecte des informations à l'élaboration d’indicateurs qualitatifs et quantitatifs de suivi\ud83d\udcce115<\/a><\/sup>La proposition de directive dite "content" du "Package Omnibus I" réduirait les étapes concernées par cette obligation, en n'imposant désormais plus d'association pour la décision de suspension ou de rupture d'une relation commerciale et pour l"élaboration d’indicateurs qualitatifs et quantitatifs de suivi.<\/span>. L'entreprise a ainsi l'obligation de "mener des échanges constructifs avec les parties prenantes"\ud83d\udcce116<\/a><\/sup>CS3D, art. 5, 1., e) : "mener des échanges constructifs avec les parties prenantes conformément à l’article 13"<\/span> et de prendre des "mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes"\ud83d\udcce117<\/a><\/sup>CS3D, art. 13, 1 : "Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes, conformément au présent article."<\/span>. De manière plus spécifique, le texte prévoit que la "politique en matière de devoir de vigilance" est "élaborée après concertation avec les salariés de l’entreprise et leurs représentants"\ud83d\udcce118<\/a><\/sup>CS3D, art. 7, 2. : "2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants [...]".<\/span>.<\/span><\/p>\n

Il convient toutefois de souligner que ces diverses obligations de prise en compte, d'association des parties prenantes ne vont pas jusqu'à permettre à celles-ci de décider de la stratégie et de la gestion de l'entreprise, ni même de "co-décider". La distinction entre les shareholders<\/em> et les stakeholders<\/em> demeure. Les parties prenantes sont consultées parce qu'elles matérialisent une partie des intérêts qui sont extérieurs à l'entreprise et qu'on lui demande de connaître et de "prendre en considération".<\/span><\/p>\n

Au contraire, une telle exigence ne figure pas dans la CSRD. Il est en effet essentiel de distinguer l'obligation de faire, de l'obligation de dire, de l'incitation à consulter les parties prenantes. Dans<\/span> la CSRD, il ne s'agit aucunement d'une obligation de faire qui consisterait à consulter les parties prenantes dans l'élaboration du rapport de durabilité, mais simplement, d'une part d'une recommandation d'associer celles-ci dans l'élaboration du rapport<\/span>\ud83d\udcce<\/span>119<\/a><\/sup>Règlement délégué ESRS, ESRS 1, 3.1 : "24. Le dialogue avec les parties prenantes affectées est un élément essentiel pour le processus permanent de vigilance raisonnable de l’entreprise (voir chapitre 4 Vigilance raisonnable) et pour l’évaluation de la matérialité en matière de durabilité. Il est également crucial pour les processus d’identification et d’évaluation des impacts négatifs, réels et potentiels, qui contribuent à leur tour au processus d’évaluation visant à identifier les impacts matériels aux fins de l’information en matière de durabilité (voir section 3.4 de la présente norme).".<\/span>, et d'autre part d'une obligation de dire, qui consiste pour l'entreprise à reporter <\/em>sur la manière dont les intérêts et points de vue des parties prenantes sont "pris en considération par l’entreprise dans sa stratégie et son modèle économique"<\/span>\ud83d\udcce<\/span>120<\/a><\/sup>V. not. règlement délégué ESRS, "Exigence de publication SBM-2 — Intérêts et points de vue des parties prenantes"<\/span><\/span>. En revanche, si les entreprises organisent une telle concertation, ce que de fait elles font, c'est parce qu'elles font usage de leur volonté et non pas pour obéir à la loi121<\/a><\/sup>Pour plus de développements, v. Obligation sur Obligation vaut et A quoi engagent les engagements.<\/span>.<\/div>\n
 <\/div>\n
D'une façon plus générale, les diverses réglementations ne posent pas une consultation des parties prenantes122<\/a><\/sup>RGPD - consultation parties prenantes concerne les autorités publiques (et moins présent)<\/span>

\r\n\r\nIA Act - consultation<\/span> parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nData Act - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDGA - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nR LCBFT - non (1 occurrence dans un considérant)<\/span>

\r\n\r\nD LCBFT  - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nCyberrésilience - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDORA - communication aux parties prenantes, donc pas concertation

\r\n\r\n\r\nNIS 2 - concerne les autorités publiques : information des parties prenantes et inclusion de celles-ci dans le plan national <\/span>

\r\n\r\nDSA - concerne les autorités publiques et pas une concertation<\/span>

\r\n\r\nDMA - non<\/span><\/span>. La tendance de certains auteurs à désigner la consultation des parties prenantes comme étant une sorte de règle générale n'est donc pas exacte. Il s'agit davantage d'une pratique mise en place par les organes de direction.<\/div>\n
\n

 <\/p>\n<\/div>\n

34. <\/strong><\/span>Obligation de publicité des structures de Compliance  <\/strong><\/em>\ud83c\udfaf Plusieurs textes de Compliance obligent les entreprises non seulement à adopter des structures de Compliance, mais encore à rendre compte de celles-ci en les exposant dans un document rendu public. Tel est le cas de la loi "Vigilance", qui oblige l'entreprise à publier son plan de vigilance et le compte-rendu effectif de la mise en oeuvre de celui-ci dans son rapport de gestion\ud83d\udcce123<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan de vigilance et le compte rendu de sa mise en œuvre effective sont rendus publics et inclus dans le rapport de gestion mentionné au deuxième alinéa de l'article L. 225-100.".<\/span>. La CS3D impose quant à elle à l'entreprise assujettie de "communiquer publiquement sur le devoir de vigilance", en publiant sur leur site internet une "déclaration annuelle" qui correspond à un "rapport sur les questions couvertes par la […] directive"\ud83d\udcce124<\/a><\/sup>CS3D, art. 5, 1., h) et art. 16.<\/span>.<\/span><\/p>\n

La CSRD impose quant à elle aux entreprises assujetties de publier des informations en matière de durabilité – plus connues sous l'appellation "rapport de durabilité" -, au sein d'une section de leur rapport de gestion125<\/a><\/sup>CSRD, art. 1er.<\/span>. <\/p>\n

On mesure en pratique que les entreprises publient davantage que la loi ne les y contraint, soit qu'elles rendent spontanément disponible des informations qui ne sont que quérables à l'initiative des personnes intéressées, soit qu'elles publient des informations qui pourraient demeurer purement et simplement internes. Il s'agit alors d'une politique volontaire qui leur est propre. <\/p>\n

 <\/p>\n

35. <\/strong><\/span>L'obligation de résultat d'organiser un système interne de sanctions disciplinaires : exigence de la loi "Sapin 2" <\/span> <\/strong><\/em>\ud83c\udfafL'article 17 de la loi dite "Sapin 2"<\/span>126<\/a><\/sup>insérer la disposition de l'article 17 de la loi Sapin 2 sur l'obligation de mettre en place un système de sanction disciplinaire. <\/span><\/span> impose à l'entreprise la mise en place d'un "régime disciplinaire permettant de sanctionner les salariés de la société en cas de violation du code de conduite de la société".<\/span> Il n'y a que la loi "Sapin 2" qui oblige les entreprises à l'adoption d'un tel système de sanction disciplinaire. On observe en pratique que des entreprises ont choisi d'organiser spontanément un tel système pour accroitre l'efficacité d'autres corpus réglementaires.<\/p>\n

 <\/p>\n

3. Obligations de résultat conditionnée à l'apparition d'une situation particulière <\/strong><\/span><\/p>\n

 <\/p>\n

36. <\/strong><\/span>L'obligation de résultat conditionnée de mettre en place des actions adaptées et suivies d'atténuation des atteintes ou des risques d'atteinte : apparition de cette obligation s'il apparaît une perspective d'atteintes graves ou de risques avérés <\/strong><\/em> <\/strong><\/em>\ud83c\udfafLes textes de Compliance sont fondés sur une approche par les risques. Ainsi, une fois que l'entreprise a identifié les risques que le texte en cause cherche à prévenir, notamment via une cartographie de ceux-ci, elle doit agir en considération de ceux-ci. Les textes obligent ainsi les entreprises à adopter des "mesures adaptées", des "mesures appropriées", etc., c'est-à-dire des mesures adéquates et proportionnées au regard des risques qu'elles ont identifiés, afin de prévenir la réalisation de ceux-ci et le cas échéant d'y remédier voire de réparer. C'est donc cette identification première d'un risque, qui déclenche l'obligation d'adoption par l'entreprise assujettie de telles mesures. En outre, si l'adoption et la mise en place de la mesure, le fait qu'elle existe (effectivité), constitue une obligation de résultat, le caractère "adapté" ou "approprié" de celle-ci, c'est à dire sa capacité à atteindre le but fixé (efficacité) et à produire des effets systémiques (efficience), constitue nécessairement une obligation de moyens.<\/span><\/p>\n

La loi dite "Sapin 2" <\/strong>impose aux entreprises de mettre en place un "dispositif de contrôle et d'évaluation interne des mesures mises en œuvre"<\/span>127<\/a><\/sup>Loi Sapin 2, art. 17, I. : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II.".<\/span>. La loi "Vigilance"<\/strong> <\/span>pose que l'entreprise doit prendre des "actions adaptées d'atténuation des risques et de prévention des atteintes graves" et doit organiser le suivi de ces actions128<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 3° Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves ; [...] 5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.".<\/span>. De nombreux textes européens obligent l'entreprise à prendre des "mesures appropriées" afin de prévenir les risques identifiés. Tel est le cas du règlement déforestation129<\/a><\/sup>Règlement déforestation, art. 11 : "1.  À l’exception des cas où une évaluation du risque effectuée conformément à l’article 10 révèle qu’il existe un risque nul ou seulement négligeable que les produits en cause soient non conformes, l’opérateur, avant de mettre les produits en cause sur le marché ou de les exporter, adopte des procédures et mesures d’atténuation du risque appropriées pour parvenir à un risque nul ou seulement négligeable. Ces procédures et mesures peuvent inclure l’un ou l’autre des éléments suivants:

\r\n\r\na) une demande d’informations, de données ou de documents supplémentaires;

\r\n\r\nb) la réalisation d’enquêtes ou d’audits indépendants;

\r\n\r\nc) l’adoption d’autres mesures ayant trait aux exigences en matière d’informations énoncées à l’article 9.".<\/span>, de la CS3D<\/strong>, qui oblige à prendre des "mesures appropriées" notamment afin de prévenir les "incidences négatives"<\/span>\ud83d\udcce<\/span>130<\/a><\/sup>CS3D, art. 10, 2. : "2.  Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins:

\r\n\r\na) si nécessaire, en raison de la nature ou de la complexité des mesures requises pour la prévention, élaborer et mettre en œuvre sans retard injustifié un plan d’action en matière de prévention, assorti de calendriers raisonnables et clairement définis pour la mise en œuvre des mesures appropriées et d’indicateurs qualitatifs et quantitatifs permettant de mesurer les améliorations; les entreprises peuvent élaborer leurs plans d’action en coopération avec les initiatives sectorielles ou multipartites; le plan d’action en matière de prévention est adapté aux activités et à la chaîne d’activités des entreprises;

\r\n\r\nb) s’efforcer d’obtenir de la part d’un partenaire commercial direct des garanties contractuelles par lesquelles ce dernier s’engage à respecter le code de conduite de l’entreprise et, en tant que de besoin, un plan d’action en matière de prévention, notamment en instaurant des garanties contractuelles correspondantes de la part de ses partenaires, dans la mesure où leurs activités font partie de la chaîne d’activités de l’entreprise. Lorsque de telles garanties contractuelles sont obtenues, le paragraphe 5 s’applique;

\r\n\r\nc) réaliser les investissements financiers ou non financiers, les ajustements ou les améliorations nécessaires, par exemple dans les installations, les processus et infrastructures de production ou d’autres processus et infrastructures opérationnels;

\r\n\r\nd) apporter les modifications ou améliorations nécessaires au plan d’entreprise, aux stratégies globales et aux activités de l’entreprise, y compris les pratiques en matière d’achat, de conception et de distribution;

\r\n\r\ne) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement;

\r\n\r\nf) dans le respect du droit de l’Union, y compris du droit de la concurrence, collaborer avec d’autres entités, y compris, le cas échéant, pour renforcer la capacité de l’entreprise à prévenir ou à atténuer l’incidence négative, en particulier lorsque aucune autre mesure n’est appropriée ou efficace.".<\/span>, ou bien encore le RIA<\/strong>, qui au titre du système de gestion des risques mis en place en cas de système d'IA à haut risque impose "l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés"<\/span>\ud83d\udcce<\/span>131<\/a><\/sup>RIA, art. 9, 2. : "2.   Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na)l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination;

\r\n\r\nb)l’estimation et l’évaluation des risques susceptibles d’apparaître lorsque le système d’IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible;

\r\n\r\nc)l’évaluation d’autres risques susceptibles d’apparaître, sur la base de l’analyse des données recueillies au moyen du système de surveillance après commercialisation visé à l’article 72;

\r\n\r\nd)l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés en vertu du point a).".<\/span>. Toujours au regard des risques identifiés et de manière proportionnée, le RGPD<\/strong> exige du responsable de traitement et de son éventuel sous-traitant de mettre en oeuvre des "techniques et organisationnelles appropriées"<\/span>\ud83d\udcce<\/span>132<\/a><\/sup>RGPD, art. 32, 1. : "1.  Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

\r\n\r\na) la pseudonymisation et le chiffrement des données à caractère personnel;

\r\n\r\nb) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

\r\n\r\nc) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

\r\n\r\nd) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.".<\/span>. Le DSA<\/strong> oblige les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne à mettre en place des mesures d'atténuation des risques, désignées comme "mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés"<\/span>\ud83d\udcce<\/span>133<\/a><\/sup>DSA, art. 35 : "1.  Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant".<\/span>. L'on retrouve là encore l'adoption de telles mesures au regard des risques identifiés et la proportionnalité. Tel est également le cas en matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong>, qui exige l'adoption de "mesures appropriées" de gestion des risques<\/span>\ud83d\udcce<\/span>134<\/a><\/sup>Règlement anti-blanchiment, art. 10 : "Avant le lancement de nouveaux produits, services ou pratiques commerciales, y compris l’utilisation de nouveaux canaux de distribution et de technologies nouvelles ou en cours de développement, en liaison avec des produits et services nouveaux ou préexistants, ou avant de commencer à fournir un service ou produit existant à un nouveau segment de clientèle ou dans une nouvelle zone géographique, les entités assujetties recensent et évaluent, en particulier, les risques de blanchiment de capitaux et de financement du terrorisme qui y sont liés et prennent des mesures appropriées afin de gérer et d’atténuer ces risques." et art. 20.<\/span>, ou du droit national<\/strong> qui, au titre des obligations de vigilance à l'égard de la clientèle, exigent la mise en place d'une "politique adaptée" aux risques identifiés<\/span>\ud83d\udcce<\/span>135<\/a><\/sup>CMF, art. L. 561-4-1, al. 2 : "A cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin, en matière de cybersécurité, les fabricants de produits comportant des éléments numérique doivent disposer de "politiques et procédures appropriées" en application du règlement cyberrésilience<\/strong><\/span>\ud83d\udcce<\/span>136<\/a><\/sup>Règlement cyberrésilience, art. 13, 8. : "[...] Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.".<\/span>, les entités financières doivent déployer des "outils,  […] stratégies et […] procédures appropriés en matière de sécurité des TIC aux termes du règlement DORA<\/strong> et, enfin, en application de la directive NIS 2<\/strong>, les entités essentielles et importantes doivent adopter des "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquels elles ont recours<\/span>\ud83d\udcce<\/span>137<\/a><\/sup>Directive NIS 2, art. 21 : "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

\r\n\r\nLes mesures visées au premier alinéa garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Lors de l’évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.".<\/span>.<\/span><\/p>\n

La mise en place de telles mesures "adaptées" ou "appropriées", le fait qu'elles existent (effectivité), constitue une obligation de résultat. En revanche, la production d'effets par celles-ci qui sont de nature à atteindre les objectifs fixés par la règle (efficacité) et ainsi à affecter le système (efficience), relève quant à elle d'une obligation de moyens. <\/span><\/p>\n

En outre, dès l'instant que la mesure élaborée par l'entreprise assujettie porte effectivement sur la difficulté ou la défaillance identifiée, elle est présumée adaptée. C'est donc à celui qui se prévaudrait de la mesure effectivement adoptée, en alléguant qu'elle est néanmoins inadaptée, de démontrer son inadaptation.<\/span><\/div>\n

 <\/p>\n

37. <\/strong><\/span>L'obligation de résultat conditionnée de transmission ou de non-transmission d'information à des tiers : apparition de cette obligation si l'on est détenteur de l'information  <\/strong><\/em>\ud83c\udfaf En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, les professionnels assujettis ont l'obligation de déclarer à Tracfin les sommes ou opérations portant sur des sommes "dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme"<\/span>138<\/a><\/sup>CMF, art. L. 561-15 : "".<\/span>. Les personnes qui n'entreraient pas dans la liste des professionnels assujettis (, etc.) et qui "<\/span>dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux<\/span>"<\/span> ont quant à elle l'obligation d'effectuer une déclaration au procu<\/span>reur pour des opérations dont elles ont connaissance et dont elles savent que les sommes en cause proviennent d'une infraction visée à l'article L. 561-15 du CMF<\/span>139<\/a><\/sup>CMF, art. L. 561-1 : "Les personnes autres que celles mentionnées à l'article L. 561-2 qui, dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux, sont tenues de déclarer au procureur de la République les opérations dont elles ont connaissance et qui portent sur des sommes qu'elles savent provenir de l'une des infractions mentionnées à l'article L. 561-15.".<\/span>.<\/span><\/p>\n

Ces obligations de déclaration se déclenchent en raison de la connaissance de la provenance illégale des sommes pour la seconde et de la connaissance, du soupçon ou de l'existence d'indices permettant de soupçonner cette origine illégale pour la première. Dans les deux cas ces obligations n'imposent pas à l'opérateur de rechercher des informations quant à l'origine des fonds. D'autres obligations, notamment de vigilance, l'amèneront pour partie à le faire. Mais ici il n'a pas à chercher à collecter des informations, il n'a pas une obligation de savoir. En revanche, s'il acquiert cette connaissance, ou s'il soupçonne ou devrait soupçonner, en raison des éléments de faits entourant les sommes ou l'opération, que celles-ci présentant un caractère illégal, alors son obligation de déclaration se déclenche.<\/span><\/p>\n

Toutefois, il se peut que cette obligation de déclaration soit bloquée, en ce qu'elle se heurterait à un secret. Ainsi et par exemple, les avocats qui interviennent dans une activité juridictionnelle ou donnent une consultation juridique (à condition que celle-ci ne soit pas fournies à des fins de blanchiment de capitaux ou de financement du terrorisme et\/ou que l'avocat ne sache pas que c'est à cette fin que le client le demande) n'ont pas à effectuer de déclaration<\/span>\ud83d\udcce<\/span>140<\/a><\/sup>CMF, art. L. 561-3, II. : "II. – Les avocats au Conseil d'Etat et à la Cour de cassation, les avocats et les personnes mentionnées au 18° de l'article L. 561-2 dans l'exercice d'une activité mentionnée au I ne sont pas soumis aux dispositions de la section 4 du présent chapitre et de l'article L. 561-25 lorsque l'activité se rattache à une procédure juridictionnelle, que les informations dont ils disposent soient reçues ou obtenues avant, pendant ou après cette procédure, y compris dans le cadre de conseils relatifs à la manière d'engager ou d'éviter une telle procédure, non plus que lorsqu'ils donnent des consultations juridiques, à moins qu'elles n'aient été fournies à des fins de blanchiment de capitaux ou de financement du terrorisme ou en sachant que le client les demande aux fins de blanchiment de capitaux ou de financement du terrorisme.".<\/span>. Le secret, qui constitue une obligation de non-transmission d'information, fait ainsi, par exception, échec à leur obligation de déclaration, c'est à dire de transmission d'information. En outre, ce même secret justifie que, lorsqu'ils interviennent au titre de leur activité de conseil et hors consultation juridique, leur obligation de déclaration soit aménagée : il existe un filtre du bâtonnier, de sorte qu'ils ne transmettent pas l'information directement à Tracfin mais à leur bâtonnier, qui à son tour communiquera l'information à Tracfin s'il estime que les conditions sont réunies<\/span>\ud83d\udcce<\/span>141<\/a><\/sup>CMF, art. L. 561-17, al. 1er : "Par dérogation aux articles L. 561-15 et L. 561-16, l'avocat au Conseil d'Etat et à la Cour de cassation ou l'avocat ou la caisse des règlements pécuniaires des avocats communique la déclaration, selon le cas, au président de l'ordre des avocats au Conseil d'Etat et à la Cour de cassation ou au bâtonnier de l'ordre auprès duquel l'avocat est inscrit ou au bâtonnier de l'ordre auprès duquel est inscrit l'avocat ayant déposé les fonds, effets ou valeurs faisant l'objet de cette déclaration. Dès lors que les conditions fixées à l'article L. 561-3 sont remplies, ces autorités transmettent la déclaration au service mentionné à l'article L. 561-23, dans les délais et selon les modalités définis par décret en Conseil d'Etat.".<\/span>.<\/span><\/p>\n

 <\/p>\n

38. <\/strong>L'obligation de résultat conditionnée d'action sur un contenu illicite : apparition de cette obligation si l'on est détenteur de l'information – le DSA  <\/strong><\/em>\ud83c\udfaf Le DSA commence par poser que les fournisseurs de service de la société de l'information ne sont en principe pas "responsables" du simple transport, de la mise en cache ou de l'hébergement de contenus illicites<\/span>\ud83d\udcce<\/span>142<\/a><\/sup>DSA, art. 4, 5 et 6.<\/span>. L'on retrouve ici la traditionnelle distinction entre l'éditeur et l'hébergeur d'un contenu, le second n'étant en principe pas responsable en raison de celui-ci<\/span>\ud83d\udcce<\/span>143<\/a><\/sup>Pour une présentation des obligations de vigilance des opérateurs assujettis au DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Ces mêmes opérateurs n'ont en outre aucune obligation générale de "surveillance ou de recherche active de faits" illicites<\/span>\ud83d\udcce<\/span>144<\/a><\/sup>DSA, art. 8 : "Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales.".<\/span>. <\/span><\/p>\n

Toutefois, à partir du moment où l'opérateur assujetti acquiert la connaissance de l'existence d'un contenu illicite, par une injonction d'agir émanant des autorités publiques<\/span>\ud83d\udcce<\/span>145<\/a><\/sup>DSA, art. 9.<\/span> ou par une notification émanant de toute personne<\/span>\ud83d\udcce<\/span>146<\/a><\/sup>DSA, art. 16.<\/span> ou d'un signaleur de confiance<\/span>\ud83d\udcce<\/span>147<\/a><\/sup>DSA, art. 22.<\/span>, il perd le bénéfice de cette exemption de responsabilité et a l'obligation d'agir sur le contenu en cause<\/span>\ud83d\udcce<\/span>148<\/a><\/sup>Pour une présentation complète et détaillée des obligations des opérateurs numériques en lien avec le DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Le déclenchement de son obligation d'agir est ainsi conditionnée à son information préalable, par un tiers, de l'existence d'un contenu illicite. En revanche, le fait pour l'opérateur de procéder "de [sa] propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires" ou de prendre "d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible" ne lui fait pas perdre le bénéfice des exemptions précitées et ne déclenche pas d'obligation d'action<\/span>\ud83d\udcce<\/span>149<\/a><\/sup>DSA, art. 7 : "Les fournisseurs de services intermédiaires ne doivent pas être réputés inéligibles aux exemptions de responsabilité prévues aux articles 4, 5 et 6 du simple fait qu’ils procèdent de leur propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires ou prennent d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible, ou qu’ils prennent les mesures nécessaires pour se conformer aux exigences du droit de l’Union et du droit national conforme au droit de l’Union, y compris les exigences énoncées dans le présent règlement.".<\/span>. <\/span><\/p>\n

 <\/p>\n

39. <\/strong><\/span>L'enjeu majeur de la charge de prouver l'existence de la situation déclenchant l'obligation de résultat <\/strong><\/em>\ud83c\udfafLorsque la situation est constituée, par exemple lorsque l'information est connue, lorsque la sanction est prononcée, l'obligation de compliance est de résultat : l'entreprise doit transmettre l'information ou au contraire ne pas la communiquer, l'établissement doit geler les avoirs. Mais la question est de savoir qui doit prouver l'existence même de cette situation qui déclenche l'obligation de résultat : est-ce celui qui doit agir (transmettre l'information, rendre indisponible l'information, rendre l'indisponible l'avoir, etc.) ou est-ce celui qui veut bénéficier de l'exécution de l'obligation de résultat ? Par exemple l'Autorité de régulation, ou une partie prenante ? Est-ce à eux de démontrer que celui qu'ils désignent comme assujetti à cette obligation était bien dans la situation qui le contraignait ? Ou doit-on considérer que c'est encore à l'entreprise de démontrer qu'elle était dans la situation requise pour agir (et geler par exemple un avoir) ou pour ne pas agir (et par exemple ne transmettre une information car les éléments constituant un soupçon n'étaient pas réunis) ?.<\/p>\n

Parce que nous sommes dans un système libéral, c'est à celui qui prétend que l'entreprise aurait dû agir ou aurait dû ne pas agir de démontrer qu'elle était dans une situation qui avait engendré son obligation (par exemple un fonctionnement objectivement anormal d'un compte bancaire, obligeant l'établissement à opérer des contrôles et à transmettre des informations sur les personnes).<\/p>\n

Parce que les charges de preuve ne sont pas si tranchées en pratique, les entreprises doivent toujours préconstituer la preuve de leurs diligences dans le contrôle des situations dans lesquelles elles sont impliquées (flux d'argent, gestion d'infrastructure impliquant les personnes et la nature) même si la charge de preuve ne leur incombe pas car dans un débat autour d'une Obligation de  Compliance qui se traduit par une action en continu la passivité probatoire n'est pas pour autant adéquate.<\/p>\n

 <\/p>\n

B. LES EFFETS ATTENDUS DU FONCTIONNEMENT DE LA STRUCTURE DE COMPLIANCE, CONSTITUTIFS D'OBLIGATIONS DE MOYENS <\/strong><\/span><\/p>\n

40. <\/span>De Droit, tout ce qui n'est pas une obligation de résultat doit recevoir le statut d'une obligation de moyens <\/em><\/strong>\ud83c\udfafDans un Etat de Droit fondé sur la liberté des personnes, tout ce qui n'est pas une action précise expressément exigée par la loi à la charge des personnes assujetties mais relève d'une mission générale doit être qualifiée d'une obligation de moyens. Cela implique que le fait de ne pas atteindre le résultat immédiatement ne constitue pas un manquement avéré à la prescription légale, la responsabilité de l'assujetti à la loi supposant la démonstration d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

41. <\/strong><\/span>La notion de "diligence raisonnable", expression même de l'obligation de moyens : la CS3D, pointe avancée de l'Obligation de Compliance <\/strong><\/em>\ud83c\udfafLa directive du 13 juin 2024 sur le devoir de vigilance demande aux entreprises assujetties de faire preuve de "diligences raisonnables". Cela suppose qu'au-delà de la mise en place des structures mêmes de compliance, par exemple un plan ou un système d'alerte, et de certaines façons de faire expressément visées, comme la concertation ou la formation, elles doivent agir pour viser à obtenir les effets attendus par le législateur.  Ce dispositif qui consiste à attendre des entreprises des actions qui engendrent des effets orientés vers les buts visés par le législateur lui-même, qui est la ratio legis <\/em>du devoir de vigilance et en fait la "pointe avancée" du Droit de la compliance150<\/a><\/sup>sur le fait que le devoir de vigilance est la "pointe avancée" du Droit de la Compliance, v. mafr....<\/span>, peut donc être généralisé à toutes les obligations de compliance qui ne relèvent pas des 3 catégories d'obligations de résultat précédemment décrites151<\/a><\/sup>Les obligations de résultat de plano <\/em>visant à mettre en place la structure de compliance (n°00), les obligations de résultat secondaire visant à organiser la construction ou le fonctionnement de cette structure (n°00), les obligations de résultat conditionnées qui ne se déclenchent que lorsqu'une situation particulière apparaît (n°00).<\/span>.<\/p>\n

 <\/p>\n

42. <\/strong><\/span>L'exemple de l'obligation de formation <\/strong><\/em>\ud83c\udfafLa formation est une obligation essentielle engendrée par le Droit de la Compliance152<\/a><\/sup>mafr, La formation, contenant et contenu...., in ....<\/span>. Dans sa part de structure, c'est-à-dire son organisation matérielle, la présence d'enseignants, la tenue des cours, le nombre d'heures, la sollicitation d'apprenants visés, l'existence de contrôles, etc., il s'agit d'une obligation de résultat. Mais quant à savoir si ceux-ci ont compris ce qui leur a inculqué, ce qui relève de l'efficacité, cela ne peut plus qu'être une obligation de moyens. Quant au bénéfice sur l'ensemble du système, pour accroître la probité générale ou la protection de l'écosystème sur lequel chacun doit veiller, cela relève plus encore de l'obligation de moyens. Cette articulation a des effets sur l'organisation probatoire car les moyens de preuve sont ici plus aisés pour satisfaire l'obligation de résultat que pour satisfaire l'obligation de moyens153<\/a><\/sup>pour plus de développement, mafr, l'entreprise, la preuve, ....<\/span>. Elle en a aussi sur la sanction d'une inexécution car la responsabilité de l'entreprise est engagée si elle n'a pas mis en place les formations mais elle ne l'est pas si les personnes présentes n'ont pas compris.<\/p>\n

 <\/p>\n

43. <\/strong><\/span>L'organisation libre des outils essentiels pour remplir son Obligation de Compliance: exemples de l'enquêtes interne <\/strong><\/em>\ud83c\udfafParce que les obligations ne résultat ne concernent que la mise en place des structures de compliance, les obligations secondaires de leur fonctionnaire et les conséquences mécaniques de l'apparition de certaines situations154<\/a><\/sup>Sur ces trois sortes d'obligations de résultat, v.supra <\/em>n°00 et s., n°00 et s. et n°00 et s.<\/span>, les entreprises choisissent la façon dont ces plans, programmes, audit, formations, évaluations, etc., doivent être organisés. Cette liberté est la corrélation de l'obligation de moyens qu'est la leur. Est exemplaire de cela la technique de l'enquête interne155<\/a><\/sup>Ainsi l'enquête interne n'est pas l'objet d'une obligation de compliance à proprement parler. C'est un moyen spontanément mis en place par les entreprises pour satisfaire son obligation de compliance, par exemple de lutte contre la corruption. Pour une description de son usage dans un groupe international, v. par ex. O. ..., in <\/em>mafr, Compliance et droit de la défense..., <\/em>2024.<\/span>.  Celle-ci est organisée librement par les entreprises et si celles-ci doivent être améliorées, comme les informations qui en résultent doivent être mieux protégées156<\/a><\/sup>Sur l'ensemble de ces questions qui sont avant tout des questions probatoires, impliquant directement les droits de la défense, v. <\/span>,<\/p>\n

 <\/p>\n

44. <\/strong><\/span>La référence majeure au droit commun de la responsabilité <\/strong><\/em>\ud83c\udfafAinsi, dès l'instant qu'on ne se trouve pas dans une obligation structurelle visée par la loi (établissement d'un plan, d'un système d'alerte, etc.), comme le dit expressément la loi du 23 mars 2017sur le devoir de vigilance et comme cela doit s'appliquer pour toutes les manifestations techniques de l'Obligations de Compliance, les conditions du droit commun de la responsabilité s'appliquent : une faute ou une négligence doit être relevée pour que la responsabilité soit engagée. Une fois la structure de compliance est mise en place, l'on ne peut demander qu'ici et maintenant le but soit atteint. L'on peut demander que des diligences raisonnables soient accomplies, cela et pas plus que cela. Comme la structure de compliance et son fonctionnement ne prennent sens qu'au regard des Buts Monumentaux pour la concrétisation desquels tous ces dispositifs systémiques ont été mis en place, il faut que ces diligences produisent des effets qui concrétisent au fur et à mesure du temps des effets qui donnent une crédibilité à une trajectoire qui relie en probabilité la structure mise en place et l'ambition exprimée<\/strong> (probité ancrée ; équilibre climatique assuré, égalité atteinte,  etc.).  Ce point sera développé par la suite157<\/a><\/sup>III. B. (mettre le titre) ; n°00 et s.<\/span>.<\/p>\n

Il résulte de ce système de compliance que l'obligation première des entreprises est donc de nature probatoire et tient dans le dessin qui se trace au jour le jour de cette trajectoire entre la structure mise en place et ces Buts Monumentaux. Si les entreprises maîtrisent les contours de cette obligatoire probatoire, elles maîtriseront mieux en conséquence la responsabilité Ex Ante qui leur incombe en évitant la responsabilité Ex Post démesurée que certains voudront voir fondre sur elles.<\/p>\n

5III.L'APPRÉCIATION DU COMPORTEMENT DES ENTREPRISES ASSUJETTIES DANS L'EXÉCUTION DE LEUR OBLIGATION DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

45. (annonce de plan)<\/strong><\/span>  <\/strong><\/em>\ud83c\udfaf L’étude des multiples obligations de compliance exposée ci-avant permet de faire ressortir des traits communs à celles-ci, permettant de cerner l’Obligation de Compliance. Il en résulte que celle-ci est en premier lieu une obligation probatoire mise à la charge des entreprises assujetties (A<\/strong>). Cela ne signifie pas qu’elle serait purement « formelle ». Cela signifie qu’elle impose à l’entreprise d’être en mesure de prouver qu’elle a mis en place les structures de Compliance exigées par la Loi et qu’elle a fait ses meilleurs efforts pour obtenir les comportements recherchés. Cela a des conséquences directes sur la responsabilité des entreprises assujetties (B<\/strong>).<\/span><\/p>\n

 <\/p>\n

46. <\/strong><\/span>Le plus important : les obligations de moyens et non les obligations de résultat   <\/strong><\/em>\ud83c\udfafLes multiples obligations de résultat qui sont imposées par les textes pour mettre en place les structures de compliance et les faires fonctionner n'ont de sens que pour obtenir des effets, et notamment des comportements, qui soient efficaces et efficients au regard des Buts Monumentaux de la Compliance : éradiquer le blanchiment, rééquilibrer le climat, instaurer l'égalité entre les êtres humains, etc. Ce chemin, cette trajectoire, entre les structures mises en place (plan, programme, alerte, évaluation, etc.) et ces ambitions, est jalonnés d'obligations qui ne peuvent être que des obligations de moyens mais ce sont ces obligations de moyens qui sont les plus importantes puisque ce sont elles qui portent les changement (la baisse de la criminalité systémique sous-jacente au blanchiment, la fin des harcèlements, le respect de la vérité et des êtres humains, la reconnaissance de ce que la nature nous apporte).  C'est donc ces obligations-la, obligations de moyens, qui sont les plus importantes. Les obligations de résultat n'existent que pour que les obligations de moyens puissent exister à leur tour.<\/p>\n

 <\/p>\n

A. L'OBLIGATION DE COMPLIANCE, AVANT TOUT UNE OBLIGATION PROBATOIRE À LA CHARGE DES ENTREPRISES ASSUJETTIES PAR LA LOI<\/span><\/strong><\/p>\n

47. <\/strong><\/span>L'obligation de compliance : essentiellement une obligation probatoire  <\/strong><\/em>\ud83c\udfafL'Obligation de Compliance est donc avant tout une obligation probatoire. Quelque soit sa place processuelle, l'entreprise doit montrer qu'elle a mis en place de plano <\/em>la structure de compliance que lui impose les lois et réglementation ainsi que les mécanismes qu'au sein de celle-ci ces mêmes sources prévoient. De la même façon, parce que l'entreprise est assujettie à l'Obligation de Compliance, qui s'illustre ensuite dans une multitude d'obligations techniques, de diverses natures (légales, contractuelles, éthiques, etc.) l'entreprise doit montrer qu'elle existent l'obligation de moyens qui lui fait aller de cette obligation de résultat de mise en place de la structure de compliance à l'accomplissement des buts monumentaux fixés par le législateur (au sens formel).<\/p>\n

Mais la difficulté en est grave car l'essentiel est bien la réalisation des Buts Monumentaux, c'est-à-dire le futur, ce qui constitue un objet probatoire à première vue inaccessible (1<\/strong><\/span>) ; c'est pourquoi l'objet de preuve ne peut être la concrétisation des Buts Monumentaux mais la crédibilité de leur atteindre (2<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Une obligation probatoire e difficile à satisfaire <\/strong><\/span><\/p>\n

 <\/p>\n

48. <\/strong><\/span>Une obligation probatoire délicate : comment prouver l'efficacité d'une structure ?   <\/strong><\/em>\ud83c\udfafCela est assez aisé pour l'entreprise lorsqu'il s'agit d'une obligation de résultat. Par exemple, elle produira le plan publié, la cartographie des risques établie, les évaluations menées. Mais cela est beaucoup plus difficile pour les obligations de moyens. Tout d'abord, l'entreprise doit prouver que par la structure mise en place elle a obtenu des effets, c'est-à-dire prouver l'efficacité des structures. L'exemple a été pris de la formation qui non seulement doit se tenir (résultat) mais encore doit apprendre aux personnes à avoir un comportement adéquat. C'est au sein même des entreprises que l'apprentissage probatoire doit se faire car c'est ensuite à travers ceux qui ont appris ceux qui ont mis en place la structure d'apprentissage que l'on juge.<\/p>\n

Cela est d'autant plus difficile qu'une partie ne pouvant se prévaloir de preuves qu'elle s'est fabriquée seule à son bénéfice158<\/a><\/sup>Sur cette difficulté probatoire pour l'entreprise de ne pouvoir se fabriquer des preuves alors que l'objet de preuve qui lui est imposé est l'efficacité de son propre comportement, v. Thibaud Goujon-Béthan (on va voir quel article mettre....).<\/span>, l'entreprise doit toujours procéduraliser l'établissement de ses preuves, recourant notamment à des tiers de confiance, ce qui contribue à la constitution d'un "marché" florissant de la compliance et à la multiplication de ces obligations.<\/p>\n

 <\/p>\n

49. <\/strong><\/span>Un objet probatoire inatteignable : comment prouver demain ? Les engagements comme solution procédurale alternative   <\/strong><\/em>\ud83c\udfafL'obligation probatoire paraît insupportable lorsqu'on prétend exiger de l'entreprise qu'elle ait l'obligation de prouver ici et maintenant que demain elle aura atteint les Buts Monumentaux pour la réalisation desquels on lui impose ce carrousel d'obligations de compliance. Car l'on ne peut pas connaître demain et l'on ne peut pas apporter une telle preuve. L'on ne peut qu'affirmer qu'on fera tout pour : cela existe qu'actuellement les "engagements" tendent à remplacer les preuves parce qu'un engagement peut porter sur le futur, ce que ne peut faire une preuve. <\/p>\n

Mais l'engagement comporte lui-même ses limites, notamment en ce qu'il est distinct du contrat159<\/a><\/sup>mafr, Engagement, ..., in L'obligation de compliance<\/span>. C'est pourquoi il n'est inséré comme remède qu'à travers un autre outil, soit un contrat en bonne et due forme160<\/a><\/sup>mafr (dir.), Compliance et contrat<\/em>, 2025.<\/span>, soit comme mode alternative des poursuites, la CJIP ou la CRPC étant un engagement de compliance qui remplace alors la preuve et prend directement prise sur le futur. <\/p>\n

 <\/p>\n

50. <\/strong><\/span>Le déplacement d'objet de preuve : prouver que l'entreprise fera effectivement demain ce que ses représentants disent aujourd'hui   <\/strong><\/em>\ud83c\udfafCela produit alors un déplacement d'objet de preuve : l'entreprise doit prouver qu'elle fera bien demain ce qu'elle dit qu'elle fera. Il y a de multiples moyens pour satisfaire une telle charge de preuve. L'on peut se suffire de l'éthique. Ou de la pression des marchés, si l'entreprise y est exposée, ou des investisseurs et prêteurs, si l'entreprise y est exposée, ou de l'opinion publique, si l'entreprise y est exposée et sensible. <\/p>\n

Si l'on ne s'en contente pas, il faudra que les engagements prennent une forme plus juridique, c'est-à-dire celle du contrat, l'arbitrage international pouvant ici prendre une place essentielle161<\/a><\/sup>E. Silva-Romero, article à venir, in L'obligation de compliance.<\/span>. L'insertion de tiers de confiance, de moniteurs notamment, va également dans ce sens. L'externalisation d'un budget ad hoc <\/em>est aussi un moyen de prouver que cela sera fait. Le croisement des deux, c'est-à-dire un budget par avance à un tiers peut relever d'une technique probante.<\/p>\n

Si les tiers qui sont donc présents en permanence dans le futur sont désignés par un juge, cela mettra en continuum l'obligation probatoire, reflet de l'Obligation de Compliance qui elle-même est en continuum  puisqu'elle a pour objet : cela est logique, puisque la première est au cœur de la seconde. Cela conforte l'obligation managériale pour les entreprises de constituer en continu le dossier probatoire de leurs diligences, les mises en cause judiciaire n'étant pas des à-coup mais une pointe dans cette culture probatoire usuelle à développer162<\/a><\/sup>dans ce sens, mafr, preuve..., in La juridictionnalisation....<\/span>.<\/p>\n

 <\/p>\n

2. La constitution d'une preuve d'une trajectoire crédible dans les effets produits par la structure de compliance au regard des buts poursuivis par le Législateur<\/strong><\/span><\/p>\n

51. <\/strong><\/span>La trajectoire, objet central de l'obligation probatoire    <\/strong><\/em>\ud83c\udfafComme l'a affirmé le Conseil d'\u00c9tat dans ses arrêts Grande-Synthe <\/em>et le Tribunal administratif de Paris dans son jugement …, l'assujetti doit montrer que la structure et les comportements passés et présents attestent d'une "trajectoire" qui permet de penser que, sauf événement contraire que nul ne peut évoquer sans preuve (par exemple la faillite de l'entreprise), le déroulement du temps futur amènera aux finalités visées au départ. La trajectoire, indissociable de la technique du plan, replace le juge dans une position Ex Ante ; <\/em>cela explique notamment pourquoi le juge des procédures collectives est par nature familier du Droit de la Compliance, puisqu'il manie les plans, les engagements et les trajectoires dans la perspective d'un objectif de redressement163<\/a><\/sup>V. dans ce sens J.-B. Barbieri, .., in L'obligation de compliance<\/span>. <\/p>\n

 <\/p>\n

52. <\/strong><\/span>La crédibilité de la trajectoire, objet d'un faisceau d'indices    <\/strong><\/em>\ud83c\udfafC'est à l'entreprise de montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets qui, par le développements du temps et parce que l'entreprise ne changera pas sa stratégie, permet d'atteindre les objectifs. Cette crédibilité doit être produite par tous les éléments probants que l'entreprise doit ou peut constituer (elle peut en effet être empêcher de les constituer, notamment parce que des informations sont interdites à l'accès ou à la production). A cela s'ajoute le pouvoir d'instruction des juges, qui peuvent nommer des experts ou recourir à des amici curiae.<\/em><\/p>\n

 <\/p>\n

53. <\/strong><\/span>Le "raisonnable", pendant du "crédible"    <\/strong><\/em>\ud83c\udfafL'appréciation qui est faite de cette crédibilité par les parties prenantes et in fine <\/em>par le juge doit être raisonnable. Par exemple il est raisonnable de penser que l'entreprise ne changera pas sa stratégie. La notion de "raisonnable" 164<\/a><\/sup>Perelman, Le raisonnable .... <\/em>Sur la notion de "raisonnable" et de "déraisonnable", voir à la suite de travaux de Perelman les travaux du centre de logique de Bruxelles....

\r\n\r\nV. aussi sous l'angle plus particulièrement probatoire, du même centre, La preuve....<\/em><\/span> <\/strong>est centrale dans la conception que Perelman a de l'office du juge qui statue selon des standards et éprouve les affirmations d'une façon raisonnable en présence de divers cercles d'auditoires, ce qui correspond ici aux différents cercles de parties prenantes auxquelles l'entreprise rend des comptes165<\/a><\/sup>mafr, L'obligation processuelle, prototype de l'obligation de compliance, in L'obligation de compliance.<\/span>.. <\/p>\n

 <\/p>\n

54. <\/strong><\/span>Renversement possible de la preuve, si la preuve est apportée du caractère non-crédible de la trajectoire    <\/strong><\/em>\ud83c\udfafUne fois cela établi, et établi en continu, l'entreprise donnant à savoir sa structure de compliance et la trajectoire concrétisée par les effets produits par celle-ci, notamment dans les comportements engendrés, doit montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets, elle a satisfait sa charge de preuve.<\/p>\n

C'est alors aux personnes qui n'en sont pas satisfait d'alléguer que l'Obligation de Compliance n'a pas été exécutée. Par exemple qu'un plan n'a pas été adopté. Ou qu'une trajectoire n'est pas crédible. La charge de prouver cela repose que la personne qui formule une telle allégation. Si des faits alimentent une telle allégation, alors la responsabilité de l'entreprise pourra être engagée.<\/p>\n

 <\/p>\n

 <\/p>\n

B. LA RESPONSABILITÉ DES ENTREPRISES ENGENDRÉE PAR L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

55. <\/strong><\/span>Une responsabilité ex ante, comme charge d'une ambition politique pour le futur  <\/strong><\/em>\ud83c\udfaf Les entreprises sont aujourd'hui, de force ou de gré en charge des grandes missions sociétales face à un avenir incertain. C'est à ce titre qu'on a pu comparaître l'Obligation de Compliance et la puissance qui en résulte166<\/a><\/sup>mafr, Concevoir le pouvoir, 2021 ; L'usage de la puissance privée pour mieux servir.., 2024.<\/span> à une délégation de la puissance publique167<\/a><\/sup>A. Rouyère, Compliance, délégation de puissance publique, 2024.<\/span>. La responsabilité est alors synonyme de pouvoir légitime\ud83d\udcce<\/span> 168<\/a><\/sup>Notamment illustrée par la Compliance environnementale, mafr, La Compliance environnementale...; la responsabilité liée à la compliance environnementale....<\/span> attachée à une situation particulière impliquant une action, et en rien à une sanction, qui interviendra au regard du passé, alors qu'il s'agissait de prendre en charge une façon d'agir pour faire en sorte que l'avenir, qui est l'objet du Droit de la Compliance, soit selon une volonté précédemment exprimée169<\/a><\/sup>sur cette idée même de responsabilité ex ante, mafr, La responsabilité ex ante, pilier du Droit de la Compliance, 2022 ; sur la place des volontés dans l'élaboration de l'Obligation de Compliance, mafr, Le calcul, le coeur, ... ; Volonté sur volonté vaut ..., in L'obligation de compliance <\/em>, 2024.<\/span>. Mais lorsqu'une personne demande l'engagement de la responsabilité d'une entreprise devant un juge170<\/a><\/sup>Sur l'aptitude à demander l'engagement d'une telle responsabilité, v. mafr, Obligation processuelle.....<\/span>, il faut qu'elle apporte la preuve d'une violation d'une obligation de compliance.<\/p>\n

 <\/p>\n

1. La responsabilité civile engagée en cas de l'absence de structures mises en place ou de structures inaptes à engendrer tout effet crédible au regard des buts monumentaux visés par la loi<\/strong><\/span><\/p>\n

56. <\/strong><\/span>Avant tout comportement, une responsabilité retenue  ex ante en l'absence de structure de compliance crédible  <\/strong><\/em>\ud83c\udfaf S'il apparaît que l'entreprise n'a pas mis en place l'un des éléments structurels de l'obligation de compliance, qui sont pourtant autant pour elle autant d'obligations de résultat auxquelles les textes l'assujettissent, sa responsabilité sera engagée. Cela sera d'autant plus aisée que les textes prévoient souvent précisément les modalités, notamment les délais (par exemple concernant le plan de vigilance), la crédibilité et le caractère raisonnable des diligences dans cette mise en place étant appréciés selon les standards usuels.<\/p>\n

 <\/p>\n

2. <\/strong>La démonstration nécessaire d'une faute ou la négligence pour engager la responsabilité de l'assujetti à une obligation qui demeure par principe une obligation de moyens<\/strong><\/em><\/span><\/p>\n

57. <\/strong><\/span>La nécessité d'un fait générateur <\/strong><\/em>\ud83c\udfaf Si la structure de compliance a été mise en place, et les obligations de résultat qui l'entourent accomplies171<\/a><\/sup>V. supra <\/em>n°00 et s.<\/span>, et qu'une trajectoire crédible se déploie au regard des Buts Monumentaux de la Compliance (la crédibilité étant une forme de preuve172<\/a><\/sup>V.supra <\/em>n°00  et s.<\/span>) alors la responsabilité de l'entreprise ne peut pas être engagée faute de fait générateur. Pour qu'elle ne soit, il faut que celui qui l'allègue apporte la preuve d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

58. <\/strong><\/span>L'absence de responsabilité spéciale <\/strong><\/em>\ud83c\udfaf En cela, et comme le rappelle expressément la loi de 2017 sur le devoir de vigilance, ce à quoi la Directive du 13 juin 2024 ne déroge pas, la responsabilité qui peut frapper l'assujetti relève du droit commun de la responsabilité. Il ne suffit pas qu'existe une obligation spéciale de compliance, qui consiste donc pour certaines personnes juridiques173<\/a><\/sup>par exemple les entreprises bancaires, financières, énergétiques, numériques, etc. Voir à ce propos (mettre les contributions sur les opérateurs sectoriels), in L'obligation de compliance.<\/em><\/span>, que cela engendre pour autant une responsabilité spéciale. Une responsabilité spéciale se caractérise par un régime spéciale. S'il fallait qu'à chaque obligation spéciale (il y a des centaines) soit attachée une responsabilité spéciale, le droit commun de la responsabilité n'existerait plus174<\/a><\/sup>Sur la défense de l'idée même d'un "principe général", v; G. Viney (in Mélanges Catala)<\/span>.<\/p>\n

 <\/p>\n

59. <\/strong><\/span>Conclusion<\/strong>. L'Obligation de Compliance, obligation unifiée et spéciale <\/strong><\/em>\ud83c\udfaf Il apparait ainsi que certains sujets sont, de par leur position, c'est-à-dire leur puissance, leurs informations, leurs technologies, leur implantation, soumis à une Obligation de Compliance qui consiste toujours à construire une structure de compliance produisant des effets crédibles au regard des buts monumentaux visés par le Législateur.<\/p>\n

________Cet article dit ce qu'est l'Obligation de Compliance des entreprises. Plongeant dans la masse des très obligations de compliance, il prend comme méthode de classement celles qui relèvent d'une obligation de résultat et celles qui relèvent d'une obligation de moyen. Il justifie le choix de ce critère essentiel, qui change les objets et la charge de preuve des entreprises qui sont assujetties à une obligation de résultat lorsqu'il s'agit de mettre en place des "structures de compliance" et sont assujetties à une obligations de moyens quant au effets produits par ces structures de compliance. Puis dans un deuxième temps l'article analyse une à une les corpus ("Sapins 2", "Vigilance", CSRD, DSA, NIS2, DMA, DORA,AML-FT, Avoir des avoirs,….) et les obligations techniques de compliance qu'elles imposent pour les répartir selon les textes en obligations de résultat ou en obligation de moyens1<\/a><\/sup>Le présent document de travail reproduit d'une façon exhaustive les dispositions des règlements, directives, règlements et autres corpus contraignants, ce qui permet au lecteur d'avoir à sa disposition les textes précis visés. Ces textes ainsi reproduits ne figureront pas dans l'article publié dans l'ouvrage L'obligation de compliance.<\/em>

\r\n\r\n <\/span>. Ce  tableau du droit positif ainsi dressé, renvoi étant fait à tous les articles des textes2<\/a><\/sup>Ce travail très important et très précieux pour toutes les personnes impliquées dans l'élaboration et la mise en oeuvre des Outils de compliance, ainsi que les contentieux systémiques qui en naissent, n'a été possible que grâce au travail d'Alex Nicollet, junior editor <\/em>du Journal of Regulation & Compliance (JoRC)<\/em> qui a procédé à la recherche systématique dans tous les corpus de Compliance et à leur classement au regard des différents types d'obligations de compliance requises. Qu'il en soit ici vivement remercié.<\/span> permet de montrer qu'en droit positif l'Obligation de Compliance a avant tout une dimension probatoire, ce qui est développée dans le troisième temps de l'article : l'entreprise doit montrer qu'elle a mis en place les structures de compliance (obligations de résultat) requises par les textes et c'est aux tiers qui lui reprochent les effets insatisfaisants que ces structures auraient selon elles produits) de démontrer qu'il y a de la part de l'entreprise une faute ou une négligence (obligation de moyen). <\/p>\n

1. <\/strong><\/span>Besoin de clarté et simplicité de l'Obligation de Compliance<\/strong><\/span><\/em> \ud83c\udfaf Des entreprises sont assujetties à une Obligation de Compliance. L'on peut se demander pourquoi celles-ci (les grandes) et non pas une autre catégorie, voire pourquoi pas toutes les entreprises, voire pourquoi pas tout le monde. L'on peut se demander pourquoi les entreprises qui ne sont pas sujets du système juridique dans lequel l'obligation a été émise y sont pourtant astreintes. L'on peut se demander pourquoi on les oblige à faire ceci ou à faire cela, et pas on ne les oblige pas à d'autres choses, puisqu'il est d'une façon générale important que les règles soient effectives. Parce qu'on ne comprend pas les contours de cette Obligation de compliance, l'observateur soupçonne l'arbitraire, la prise de pouvoir, une sorte de guerre, d'affrontement qui parait d'autant plus sans "foi ni loi". Cela serait d'autant plus inadmissible d'y être "obligé" que cette contrainte confuse prend forme juridique. De tout cela, on discute, souvent avec véhémence, dans un sens ou dans un autre,  le spectre des positions étant très large : certains  affirment qu'il devrait y avoir une Obligation de Compliance plus impérieuse, avec des sanctions colossales et des obligations de faire sur les Etats eux-mêmes, d'autres soutenant qu'il ne faudrait aucune obligation, seule l'éthique pouvant être admise.<\/p>\n

Il apparait que toutes ces discussions n'ont le pied sûr  que si l'Obligation de Compliance est définie.<\/p>\n

De l'examen de tout le droit positif qui s'applique à tant d'obligations éparpillées qui sont reconnues comme étant des "obligations de compliance", nommées expressément ainsi, et dont la nomenclature sera dressée plus loin3<\/a><\/sup>d'une façon analytique, I. ... ; d'une façon synthétique, II .....<\/span>,<\/strong> il se dégage ceci : l'Obligation de Compliance confie aux assujettis la construction de structures de compliance produisant des effets crédibles au regard des buts monumentaux visés par le législateur.<\/strong><\/p>\n

La présente étude a pour objet d'asseoir cette définition en la tirant directement du droit positif.<\/p>\n

En effet, cette définition rend compte de l'ensemble du droit positif. Elle permet à la fois de désigner dans une même unité tous les divers mécanismes qui sont identifiés techniquement comme relevant du Droit de la Compliance et d'exclure des obligations qui n'en relèvent pas4<\/a><\/sup>et qui relèvent simplement du fait d'obéir à la loi, d'exécuter ses engagements contractuels. Car sinon tout devient obligation de compliance, le Droit de la Compliance n'étant alors lui-même que le Droit lui-même en ce qu'il se caractérise par le fait qu'il contraint. Sur ce point de base, mafr, Le Droit de la Compliance, 2016.<\/span>.<\/p>\n

Par la suite, d'une façon secondaire donc, des disputes peuvent clairement se construire, pour contester ou approuver l'existence d'une telle Obligation, pour proposer  d'en infléchir la force ou d'en accroître la contrainte, pour proposer d'en multiplier les modalités, pour proposer d'en laisser plus ou moins la disposition aux acteurs, pour proposer d'en désigner de nouveaux sujets ou d'en soustraire des assujettis, pour proposer d'en modifier la portée, pour proposer d'en hiérarchiser ou articuler les sources, pour proposer de restreindre le nombre de celles-ci, etc.<\/p>\n

Pour proposer tout cela et ne pas s'y perdre, il faut partir d'une définition simple et nette. Or le droit positif nous la donne. La définition qui ressort du droit positif en est toujours la même : le législateur (au sens formel) requiert d'un sujet de droit qu'il mette en place ou contribue au fonctionnement d'une structure pour produire des effets, notamment des comportements, qui vont converger vers la réalisation des Buts Monumentaux que ce législateur a l'ambition d'atteindre dans des systèmes cruciaux pour le futur. <\/strong><\/p>\n

Mais, alors même que l'examen de l'ensemble du droit positif la fournit, cette définition de l'Obligation de Compliance n'est pas clairement exprimée, ni par les textes, toujours ponctuels, ni par les auteurs, souvent attachés à une obligation particulière dont ils tireront une définition générale, face à laquelle des obligations particulières différentes apporteront une dissonance, voire une contradiction, discréditant la définition générale proposée.<\/p>\n

Ainsi, partant d'un exemple particulier à une généralité affirmée, chacun ayant la sienne et ne se prévalant que d'une obligation particulière de compliance, suivant que l'on lit les uns ou les autres, il s'agirait pour les entreprises d'être obligées de donner à voir qu'elles respectent activement toutes les réglementations applicables ou bien, à l'autre bout du spectre, il s'agirait pour elles d'exercer un immense pouvoir, celui de se fixer d'une façon autonome des règles, dont elles fixeraient la teneur, la portée et les assujettis, à savoir elles-mêmes mais aussi les autres.  Ou il s'agirait de les soumettre à une obligation adossée à la force du droit pénal, ou il s'agirait de concrétiser le désir de bien faire dans un élan éthique dont elles ne répondraient qu'à l'égard de la conscience des personnes et de l'effet de réputation.<\/p>\n

Faute de pouvoir s'entendre, l'on finit par dire qu'il y aurait autant de définitions que de cas, qu'il faudrait être "pragmatique", que tout cela est très "complexe" et que sans définition unifiée, l'on verra bien ce que le prochain juge, français, européen, américain ou autre, dira suivant le cas et son humeur. La crainte du juge en est accrue.<\/p>\n

L'espoir se tourne alors vers les algorithmes car en fournissant à la puissance algorithmiques tous les cas déjà passés et tous les jugements déjà émis par les uns et les autres, l'on pourrait par probabilité ainsi connaître la décision future. Faute de comprendre et de maîtriser l'Obligation de Compliance. Les algorithmes apparaissent alors comme seul espoir de la Compliance…, dont on aurait désespéré de comprendre quoi que ce soit.<\/p>\n

L'objet de cette étude, et de cet ouvrage, est inverse.<\/p>\n

Le Droit devant rester affaire humaine et les situations présentes et prochaines ne devant pas être produites ni seulement par les solutions passées, peut-être inadéquates, ni seulement par des projections vers le futur par le calcul probabiliste, il s'agit de clarifier et d'unifier L'Obligation de Compliance.<\/em><\/p>\n

Cela est possible. <\/p>\n

L'état actuel de confusion tient à des obstacles qui doivent tout d'abord être identifiés en prolégomènes, identification nécessaire pour dépasser ces obstacles.<\/p>\n

 <\/p>\n

 <\/p>\n

PROLÉGOMÈNES : LES OBSTACLES À UNE DÉFINITION CLAIRE ET UNIFIÉE DE L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

2. <\/strong><\/span>Première raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'état naissant du Droit de la Compliance<\/strong><\/span><\/em> \ud83c\udfaf Pour cerner, concrétiser et faire respecter l'Obligation de Compliance pesant sur les entreprises, pour maintenir l'ambition de pouvoir s'appuyer sur l'unicité de cette Obligation de Compliance afin de pouvoir  aisément en déduire son régime, il faudrait disposer d'une notion déjà solidement construite par le Droit. Mais concernant l'Obligation de Compliance, l'on ne bénéficie pas d'un tel luxe : parce que le Droit de la Compliance est encore lui-même une branche du Droit en émergence, sur la définition de laquelle les disputes se poursuivent, donnant lieu à un contentieux d'un type nouveau lui-même émergeant5<\/a><\/sup>mafr, Le contentieux systémique émergeant, 2024.<\/span>,  l'on pourrait donc qu'hésiter sur  ce qu'est l'obligation de compliance qui en découle. <\/p>\n

Or, en pratique, cela est dramatique parce que les conséquences de l'inexécution de l'Obligation de Compliance sont sévères, les entreprises assujetties protestant souvent contre le fait qu'elles ne savent pas les contours de ce à quoi elles sont obligées. Cette incertitude quant à savoir ce qu'est l'Obligation de Compliance, constatée par tous6<\/a><\/sup>Cambridge, Cambridge handbook, (citation à compléter)<\/span>, est pourtant inévitable. Elle n'est pas même un défaut, lequel serait une preuve d'une sorte de malformation : ce temps d'incertitude constitue un moment de la naissance d'une branche du Droit7<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Births of a branch of Law: Compliance Law<\/a>,<\/em> 2023.<\/span> : parce que le Droit de la Compliance est en train d'émerger, l'Obligation qu'il engendre pour les acteurs est encore incertaine. Mais plus la construction de la branche du Droit va se consolider et plus ces incertitudes vont s'estomper. Il faut un peu de patience pour que Rome se construise8<\/a><\/sup>Sur l'idée que l'écoulement du temps, notamment nécessaire à la construction de la jurisprudence, est nécessaire, est en lui-même un facteur de progrès, v. mafr, "Le devoir de vigilance : progresser", 2024.<\/span>.<\/p>\n

 <\/p>\n

3. <\/strong><\/span>Deuxième  raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des branches elles-mêmes très différentes <\/strong><\/span><\/em> \ud83c\udfaf C'est par le critère de l'assujettissement que l'on a tendance à identifier une obligation de compliance : plus la force de la contrainte est élevée et plus l'on repère un mécanisme de "compliance". C'est donc à l'impérieux Droit pénal qu'il est encore usuel de rattacher la Compliance9<\/a><\/sup>même si c'est pour s'émouvoir que ce Droit pénal qui ordonne et oblige se mâtine, voire se dénature, lorsqu'il incorpore des outils de compliance qui relèvent davantage de l'accord. Sur cette question, v.G. Boissonnie, ..., in Les buts monumentaux.... ; <\/em>La CJIP est ainsi l'objet de nombreuses interrogations,  . par ex., S. -P. Cabon, ..., in Compliance et droits de la défense, <\/em><\/span>. Mais il est aujourd'hui acquis que les obligations s'ancrent dans toutes les branches du Droit. Cela rend difficile la perspective de son unicité, dès l'instant qu'elle n'est pas enfermée dans une branche du Droit, pouvant en pratique relevant d'une juridiction précise (le juge pénal, les structures administratives répressives) et un savoir universitaire aux contours établis (notamment le droit pénal et le droit administratif, la compliance étant présentée comme une  sorte de complément qui les moderniserait).<\/p>\n

En outre, à l'intérieure de toutes les branches du droit, ce sont de multiples obligations de compliance qui sont repérables et qu'il est difficile de classer10<\/a><\/sup>C'est l'objet même de la première partie de cette étude que de les classer, afin de les maîtriser. v. n°00 et s.<\/span>. Pour prendre l'exemple d'une chaine économique d'activités, le Droit international, le Droit des contrats, le Droit des sociétés, le Droit de la concurrence et le Droit de la distribution, le Droit du travail, ont des points de contact avec les obligations de compliance qui sont engendrées, notamment par la façon dont l'entreprise donneuse d'ordre doit avoir soin de la façon dont  les personnes qui s'activent , salariés, collaborateurs, collaborateurs, fournisseurs,  etc., sont traitées tout à long de la chaîne. Cette Obligation innerve la "chaîne de valeur" (notion managériale)11<\/a><\/sup>Sur l'articulation entre les notions managériales et les notions juridiques, v. J.-Ph. Denis et N. ..., ..., et E. Maclouf, ..., in ....L'obligation de compliance, <\/em><\/span> mais les branches du Droit segmentent l'unicité à laquelle le souci de la personne exprimé par le législateur renvoie. Cela peut être certes dépassé puisque le Droit étant lui-même un système fonctionne en articulant les diverses branches12<\/a><\/sup>Sur l'articulation que l'Obligation de Compliance requiert avec les diverses branches du Droit, v. (citer les contributions de la partie de l'ouvrage à ce propos)<\/span>, mais cela constitue néanmoins un obstacle pour parvenir à une définition unique de l'Obligation de Compliance surplombant les branches du Droit13<\/a><\/sup>Comme le contrat, la propriété ou la famille y sont parvenus, ce pourquoi Carbonnier les désigna oomme les "piliers" du Droit.<\/span>.<\/p>\n

 <\/p>\n

4. <\/strong><\/span>Troisième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des secteurs très divers <\/strong><\/span><\/em>\ud83c\udfaf En outre, l'Obligation de Compliance s'adressant naturellement aux opérateurs cruciaux des secteurs régulés concerne de multiples secteurs, allant du secteur bancaire et financière où elle a pris son origine en réaction à la crise de 192914<\/a><\/sup>mafr, Compliance : hier, aujourd'hui, demain....<\/span>,  au secteur énergétique particulièrement impliqué dans le système climatique, à l'espace numérique, à l'espace spatial, etc. Or, la spécificité de chacun se traduit par des obligations qui lui sont propres et sont rappelés par chaque régulateur, par chaque spécialiste de chaque espace, de chaque organisation professionnelle. C"est sans doute l'émergence d'un "Contentieux Systémique" devant le juge de droit commun15<\/a><\/sup>mafr, Le contentieux systémique, 2024.<\/span>, qui va rapprocher tous ces secteurs en ramenant ce qui leur est commun, par exemple le souci systémique de durabilité à laquelle les entreprises ont l'obligation de moyens de contribuer16<\/a><\/sup>V. les articles précurseurs de François Ancel : ..., in La juridictionnalisation de la compliance,<\/em>2023 ; ...,<\/em>in De la régulation à la compliance: quel rôle pour le juge ?<\/em> 2024.<\/span>.<\/p>\n

 <\/p>\n

5. <\/strong><\/span>Quatrième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des réglementations qui s'éloignent les unes des autres <\/strong><\/span><\/em>\ud83c\udfaf Liée aux 3 phénomènes précédents, sont apparus des spécialistes, des articles, des ouvrages et des manifestations, liés à une seule réglementation, détaillant celle-ci et n'évoquant pas les autres. Cela est logique en ce que chaque réglementation, terme qui embrasse toute une variété de textes de différentes portée, contient à elle-seule de nombreuses obligations de compliance, déjà difficiles à mémoriser, à comprendre et à articuler entre elles. La finesse des descriptions et des analyses des solutions, souvent menées dans l'ignorance des analyses des solutions retenues pour les obligations, pourtant analogues, contenues dans d'autres réglementations, rend ainsi paradoxalement de plus en plus difficile à maîtriser un ensemble de réglementations qui deviennent de plus en plus autonomes les unes des autres. Ainsi plus on devient savant et plus on devient ignorant, paradoxe de la spécialisation.<\/p>\n

L'expertise croissante développée à propos de chaque réglementation rend donc de plus en plus difficile l'émission d'une Obligation de Compliance. L'érudition sur les obligations de compliance, grandement facilitée par les recherches par algorithmes, est une force centrifuge qui rend l'Obligation de Compliance de plus en plus difficile à maîtriser. Sauf à tout abandonner aux algorithmes.<\/p>\n

 <\/p>\n

6. <\/strong><\/span>Cinquième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'absence de distinction première entre les obligations qui sont sanctionnées par le seul fait que l'assujetti n'a pas atteint le résultat et les obligations qui ne contraignent qu'à un effort accompli au regard d'un but fixé  <\/strong><\/span><\/em>\ud83c\udfaf Mais la cinquième raison constitue le plus grand obstacle.  En effet, lorsqu'on passe d'une obligation de compliance à une autre, on a l'impression qu'elles n'ont rien en commun. Parfois, certaines expriment une exigence telle que le seul fait pour l'assujetti de n'avoir pas obtenu le résultat demandé entraine sa condamnation. Parfois, d'autres obligations se contentent de requérir de l'assujetti de faire au mieux. Comment dès lors trouver une unicité dans cela ? Comment trouver un terrain d'entente entre ceux qui, voulant soumettre les entreprises auxquelles  confiance n'est pas donnée, se prévalent toujours des exemples du premier type d'obligations, et ceux qui, rappelant que les entreprises ne peuvent pas tout, s'appuient sur les textes qui n'obligent celles-ci qu'à des diligences ? <\/p>\n

L'on finit par se dire que le droit positif est bien mal fait… et que demain il aura, par la sagesse du temps, résolu tout seul tous ces obstacles17<\/a><\/sup>Sur l'idée comme quoi il y aurait une "immaturité" (et qu'il faut donc attendre), v. Ch. Maubernard, .Le devoir de vigilance..., <\/em>2024.<\/span>. Mais précisément c'est ici et maintenant que nous avons besoin d'une définition claire et unifiée de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

7. <\/strong><\/span>Nécessité pratique de surmonter ici et maintenant ces obstacles pour définir l'Obligation de Compliance <\/em><\/strong><\/span>\ud83c\udfaf En pratique, l'on ne peut pourtant se contenter d'attendre ces lendemains meilleurs où l'on se sera accordé sur les définitions de base. Justement parce que la Compliance oblige, et considérablement, les entreprise. Or, être obligé mais ne pas savoir exactement à quoi, n'est-ce pas dramatique ? <\/p>\n

Parce qu'on ne peut donc en pratique attendre que la branche du Droit ait trouvé sa maturité, même si l'on doit tout faire pour aider à cela en produire en pratique la sécurité requise18<\/a><\/sup>Voir par exemple à propos de la Vigilance, pointe avancée de la Compliance, mafr, "Vigilance : progresser", 2024.<\/span>, il faut s'efforcer de passer ces obstacles qui peuvent certes être le résultat de stratégies dolosives des divers acteurs concernés (les États, les entreprises, les parties prenantes, etc.) mais qui tiennent le plus souvent à la nature des choses (temps, structures économiques et juridiques), Il faut plutôt faire confiance au droit positif, déjà si fourni qu'on le présente sous l'expression péjorative de "masse réglementaire" mais qui recèle des lignes de force, pour dégager l'esprit qui l'anime. Car un Droit sans âme, cela n'existe pas tant que ce sont des êtres humains qui l'écriront19<\/a><\/sup>J.-L. Halperin, Une histoire des droits dans le monde <\/em>, 2024, notamment l'introduction qui développe <\/span>.<\/p>\n

 <\/p>\n

8. <\/strong><\/span>Partir des régimes déjà développés pour dégager l'unicité et la simplicité de l'Obligation de Compliance, obligation d'un nouveau type<\/em>. Plan.<\/strong><\/span> \ud83c\udfaf Pour cela il est ici proposé de partir des régimes que l'on peut observer en droit positif, en se penchant plus particulièrement  sur le couple familier du Droit des obligations : "obligation de moyens \/ obligation de résultat", appliqué ici à l'obligation légale et parfois à l'obligation contractuelle (I<\/strong><\/span>). Si l'on scrute les textes et les jurisprudences, il apparaît que les diverses obligations sont tantôt de moyens et tantôt de résultat, suivant qu'elles sont comportementales ou structurelles, ne pouvant qu'être de moyens dès l'instant qu'il s'agit pour l'assujetti de tendre vers la réalisation des buts monumentaux pour lesquels l'obligation a été édictée, l'obligation probatoire d'une trajectoire crédible étant l'obligation centrale (II<\/strong><\/span>). Ainsi éclairée, l'Obligation de Compliance trouve son unicité, sa force et sa simplicité, étant supportable par l'entreprise qui doit la concrétiser parce qu'elle est en position de tendre avec effectivité, efficacité et efficience vers les buts monumentaux en vue desquels cette Obligation d'un nouveau type est générée  (III<\/strong><\/span>).<\/p>\n

 <\/p>\n

I.  LE COUPLE "OBLIGATION DE MOYENS \/ OBLIGATION DE RÉSULTAT", VOIE POUR APPRÉHENDER PAR LE DROIT POSITIF L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

9. <\/strong><\/span>Partir du droit positif des obligations techniques de compliance, tantôt de moyens, tantôt de résultat<\/strong><\/span> \ud83c\udfaf Pour ne pas continuer à plonger dans les disputes de définition sans jamais en sortir, inversons la méthode en partant des oppositions constatées dans l'intensité des contraintes issues des textes. Étudions le régime juridiques lui-même, appliqué à de multiples obligations que tous s'accordent à qualifier d'obligations de compliance, si diverses et si nombreuses, et trouvons  à travers cela une voie permettant  d'induire l'unicité de l'Obligation de Compliance. <\/p>\n

En partant du droit positif20<\/a><\/sup>Using the same method, we will start from the diversity of sources to nevertheless find the unicity of the Compliance Obligation: <\/span>, on opère le constat suivant : parfois les entreprises assujetties sont sanctionnées du seul fait qu'elles n'ont pas atteint le résultat  que le texte a visé, ce qui renvoie donc à ce que l'on appelle souvent en droit des contrats <\/strong>une obligation de résultat ; en effet les entreprises sont sanctionnées uniquement si un fait générateur est constitué par une faute ou une négligence et que la survenance de ce fait générateur est prouvée par celui qui demande la condamnation de l'entreprise, ce qui atteste d'une obligation de moyens. L'enjeu est avant tout probatoire21<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Judge, the Compliance Obligation and the Company. The Compliance Evidence System<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Jurisdictionalisation<\/a>, <\/em>2024.<\/span> . Cette dimension probatoire, qui fait que l'entreprise sera condamnée ou non montre que la qualification de résultat ou de moyen est essentielle : si l'obligation est de moyens, la faute ou la négligence est un objet de preuve dont la démonstration doit être apportée par celui qui se plaint, tandis que si l'obligation est de résultat, il suffit pour celui qui se plaint de montrer que le résultat n'est pas atteint pour que celui auquel le reproche est fait soit condamné. Tout est là22<\/a><\/sup>Il en résultera que l'Obligation de Compliance est avant l'obligation probatoire. Sur cela, v. infra <\/em>n°00 et s.<\/span>.<\/p>\n

 <\/p>\n

10. <\/strong><\/span>Les vertus du classement<\/strong><\/span> \ud83c\udfaf Bien qu'il paraisse hasardeux de transposer à des obligations légales l'expression et le régime des obligations contractuelles23<\/a><\/sup>It may, however, be dangerous to apply to a legal obligation a distinction which is usual only in Contract Law. On the one hand, a person obeys the law without his consent being required (the social contract is sufficient to give rise to the principle of obedience); on the other hand, his subjection to the law undoubtedly benefits all the other subjects of law, who may rely on a breach but do not, for all that, become ‘creditors’ of the legal obligation in relation to the subject: they must demonstrate a triggering event constituted by a fault or negligence. The fact that some authors systematically describe firms as ‘debtors’ of the Compliance Obligation, leading to confusion between a legal obligation and a contractual obligation, then allows them to argue that third parties could benefit from compensation without having to prove damage, a triggering event and a causal link, since they would be like creditors. See on this point, \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Compliance Obligation, between Will and Consent: obligation on obligation works<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche (ed.), <\/em>\ud83d\udcd8<\/span>Compliance Obligation<\/em><\/a>, 2024.<\/span>, partons donc de ce constat d'une pluralité d'obligations techniques, qui sont pour certaines des obligations de de moyens et pour d'autres des obligations de résultat (A<\/strong><\/span>). Cette pluralité ne constitue pas un obstacle définitif à la constitution d'une définition unique de ce qu'est l'Obligation de Compliance. Cela permet au contraire de l'éclaircir, de tracer les allées dans ce qui est si souvent qualifié de fatras juridique, de "masse réglementaire" immaitrisable24<\/a><\/sup>A quoi s'ajoute la grande diversité des sources. Mais cela aussi est maîtrisable. mafr, La volonté, le coeur, le calcul. Cerner l'Obligation de compliance<\/span>. Un tel répertoire permet aussi de classer dans trois catégories qui s'articulent la multitude des obligations de résultat qui sont engendrées par l'Obligation de Compliance et de mesurer qu'il faut exclure de poser celle-ci comme étant elle-même globalement une obligation de résultat (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA DISTRIBUTION DES OBLIGATIONS TECHNIQUES DE COMPLIANCE EN OBLIGATIONS DE RÉSULTAT ET EN OBLIGATIONS DE MOYENS<\/strong><\/span><\/p>\n

 <\/p>\n

11. <\/strong><\/span>Préserver et améliorer les comportements en continu en perspective des buts visés par les textes = obligation de moyens ; mettre en place en amont les <\/em>structures visés par les textes<\/em> = <\/strong>obligation de résultat <\/strong><\/em>\ud83c\udfaf En effet, cette différence essentielle entre la masse des obligations de compliance qui sont des obligations de résultat et la masse des obligations de compliance qui sont des obligations de moyens, qui imprègne tout le système probatoire du Droit de la Compliance, n'entame pourtant pas cette unicité de l'Obligation de Compliance qui permet la définition de celle-ci.<\/p>\n

En tant que l'entreprise obligée au titre du Droit de la Compliance participe à la réalisation des Buts Monumentaux qui fondent normativement celui-ci25<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a> (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2023.<\/span>, obligation légale éventuellement relayée par le contrat26<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Compliance contract, compliance clauses<\/a>, 2022<\/span>, voire par l'éthique27<\/a><\/sup> v. <\/span>M.-A. Frison-Roche<\/a> , <\/span>\ud83d\udcdd<\/span>La volonté, le cœur et le calcul, les trois traits cernant l'Obligation de Compliance<\/a>,  <\/span>in<\/em> <\/span>M.-A. Frison-Roche<\/a> (dir.), <\/span>\ud83d\udcd5<\/span>Les Buts Monumentaux de la Compliance<\/em><\/a>, 2024.<\/span><\/span>, l'obligation ne peut être qu'une obligation de moyens, en raison même de cette nature téléologique et de l'ampleur des buts visés, par exemple l'heureux dénouement de la crise climatique ou l'égalité effective  souhaitée entre les êtres humains. Le résultat visé est à la fois si ambitieux et si lointain que retenir autre chose qu'une obligation de moyens alors que le résultat envisagé est de cette ampleur et à cette distance revient à condamner d'avance toutes les entreprises, ce qui n'est pas admissible. Il est pourtant et néanmoins porteur de multiples obligations de résultat, dont le rôle est essentiel et qu'il faut dégager.<\/p>\n

 <\/p>\n

12. <\/strong><\/span>Articuler les obligations de résultat et de moyens avec les exigences d'effectivité, d'efficacité et d'efficience<\/strong><\/span> \ud83c\udfaf En effet, ce principe acquis laisse place au fait que ces comportements demandés et les effets évalués sont jalonnés par des process <\/em>mis en place par des outils structurels, le plus souvent légalement décrits, par exemple l'établissement d'un plan de vigilance ou des formations régulièrement organisées, ce qui relève du critère de l'effectivité <\/em><\/strong>de la Compliance : il s'agit alors d'obligations de résultat. À ce titre, il faut adopter un plan, un programme, il faut organiser des formations, il faut mettre en place un système d'alerte, etc. Si ce résultat n'est pas atteint, l'obligation n'est pas remplie. Tandis que les effets heureux produits par ces outils structurels (que sont ces plans, programmes, cartographie, evaluation, formations, etc.), effets heureux qui renvoient non pas à l'effectivité mais à l'efficacité<\/strong><\/em>  il s'agit d' obligations de moyens.  Par exemple, l'on peut contrôler la présence des apprenants dans la formation donnée, mais l'on ne peut qu'exiger l'effort de transmission d'une compétence, c'est-à-dire l'efficacité de cette formation. C'est encore plus le cas lorsqu'il s'agit d'obtenir la transformation de l'ensemble du système, c'est-à-dire une solidité acquise du système (bancaire, financier, climatique, etc.), une culture d'égalité (entre les êtres humains), un respect de chacun à l'égard de tous (préservation du pacte social) : il s'agit alors de préserver, voire de transformer les systèmes eux-mêmes, ce qui relève de l'efficience,<\/strong><\/em> ce pour quoi le bon sens conduit à exclure plus encore une obligation de résultat et à retenir une obligation de moyens. L'effet heureux sur l'ensemble du système est à la fois ce qui fonde toute la compliance mais ne peut engendre qu'une obligation de moyens.<\/p>\n

 <\/p>\n

13. <\/strong><\/span>L'enchâssement des obligations de moyens dans les obligations de résultat : la crédibilité des structures et process (obligations de résultat) à engendrer les comportements et effets attendus au regard des buts visés (obligations de moyens) : la crédibilité <\/strong><\/span> \ud83c\udfaf Les deux masses d'obligations de résultat et d'obligations de moyens ne sont pas pour autant étanches : il existe au contraire une communication.  En effet, c'est bien pour aboutir à cette transformation des systèmes (un numérique sûr, une durabilité des chaînes d'activités, une dégradation climatique enrayée, une souveraineté énergétique préservée, une culture de respect entre les êtres humains, etc.) qu'au départ les réglementations ont imposé aux entreprises par des obligations de résultats l'adoption des structures et des process : ont été ainsi construites les conditions "effectives" pour qu'apparaissent les comportements "efficaces" afin que les systèmes soient préservés dans la durée des risques et s'améliorent d'une façon "efficiente"28<\/a><\/sup>Sur le caractère central de la crédibilité, v. infra <\/em>n°00 ; v. aussi mafr, ... (conf. d'octobre 2024)<\/span>. <\/p>\n

 <\/p>\n

14. <\/strong><\/span>L'unicité de l'Obligation de Compliance par le continuum entre les structures et process (obligation de résultat), d'une part, les comportements et les cultures (obligations de moyens), continuum prenant son sens par les Buts Monumentaux de la Compliance<\/strong><\/span> \ud83c\udfafL'Obligation de Compliance apparaît ainsi unifiée parce que graduellement, et quelles que soient les diverses obligations de compliance dont il s'agit, leur intensité ou leur secteur, les préalables structurels de process29<\/a><\/sup>Ch. Lapp, in Les buts monumentaux de la compliance<\/span> de l'Obligation de Compliance sont des techniques de résultat auxquelles le Droit, à travers notamment le Juge30<\/a><\/sup>mafr (dir.), La juridictionnalisation de la compliance<\/em><\/span>, demandera qu'ils soient faits mais ne demandera pas plus, tandis que tendre vers la réalisation des Buts monumentaux précités sera une obligation de moyens, ce qui peut paraître plus léger, mais correspond à une ambition incommensurable, en ce qu'elle se situe à la hauteur de ces Buts31<\/a><\/sup>mafr, Les buts monumentaux, coeur battant du droit de la compliance....<\/span> : l'entreprise devra s'appuyer sur ses structures, par exemple une structure de formation, pour aller au-delà, par exemple que les personnes dont elle a la charge, comprennent ce qui leur a été enseigné, visant in fine <\/em>à une efficience des systèmes, par exemple que les personnes ainsi éduquées diffusent une culture de respect d'autrui, renvoyant en Europe à une ambition de civilisation des systèmes32<\/a><\/sup>mafr (dir.), L'europe de la compliance...<\/em><\/span>.<\/p>\n

 <\/p>\n

15. <\/strong><\/span>Ce que les entreprises, les autorités et les parties prenantes doivent prouver<\/strong><\/span>\ud83c\udfaf De cette articulation il résulte que les entreprises doivent montrer non pas tant ou seulement qu'elles ont bien suivi les process (résultat) mais que cela a produit des effets heureux et attendus33<\/a><\/sup>mafr, .... prolégomènes du système probatoire de la compliance, ...<\/span> qui convergent avec les buts recherchés par le Législateur34<\/a><\/sup>mafr, obligation sur obligation vaut<\/span>. Elles doivent aussi montrer que les structures mises en place étaient et sont en mesure de produire ces effets prévus et requis au regard des Buts Monumentaux : cette exigence de crédibilité ramène toujours à la dimension probatoire de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

B. L'INADÉQUATION D'UNE OBLIGATION DE COMPLIANCE PENSÉE COMME OBLIGATION GLOBALE DE RÉSULTAT<\/strong><\/span><\/p>\n

 <\/p>\n

16. <\/strong><\/span>Le risque de rendre l'Obligation de Compliance "insupportable" par son  unification comme obligation globale de résultat<\/strong><\/em> \ud83c\udfaf Méconnaître ces distinctions, cette gradation et cette articulation aurait des conséquences pratiques très graves. En effet, transformer l'Obligation de Compliance en son principe et toutes ses modalités en obligation de résultat alors que le Droit de la Compliance prend sa normativité dans les Buts Monumentaux visés, ce qui lui attache une très grande ambition35<\/a><\/sup>\ud83d\udd74<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Compliance Monumental Goals, beating heart of Compliance Law<\/a>, in<\/em> M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2022.<\/span>, à savoir la sauvegarde des systèmes à l'avenir36<\/a><\/sup>Donnant corrélativement une grande unité au "Contentieux systémique" qui en résulte. Pour la démonstration de cela, mafr, Le contentieux systémique, 2024.<\/span>, n'aurait pas de sens car aucune entité n'a la puissance d'atteindre ici et maintenant un tel but. L'on ne doit demander à l'entreprise qui a mis en place les structures requises (plans, formations, évaluations, etc.) que des diligences raisonnables.<\/p>\n

 <\/p>\n

17. <\/strong><\/span>L'illustration par la Vigilance d'une articulation entre des structures imposées par une obligation de résultat (le plan) et des efforts demandés par une obligation de moyens (diligences) <\/em><\/strong><\/span>\ud83c\udfaf C'est d'ailleurs expressément ce que fait la Directive du 13 juin 2024 sur le devoir de vigilance37<\/a><\/sup>dans cette note attachée au paragraphe 17 de l'étude noter quelques exemple des diligences raisonnables que la directive CS2D du 13 juin 2024 exige des entreprises, merci.<\/span>. L'entreprise doit montrer qu'elle fait des efforts crédibles en s'appuyant sur les différentes structures qu'elle a mis en place (plan, programme, formation, évaluation, etc.). Dans ce qui est l'essentiel, c'est-à-dire non pas les process, qui ne sont qu'une condition (certes nécessaire), mais dans les comportements et les effets obtenus en continu ce sont des obligations de moyens que les textes engendrent à la charge de l'entreprise. <\/p>\n

 <\/p>\n

18. <\/strong><\/span>L'on ne peut demander aux entreprises de sauver immédiatement le monde en transformant l'effort requis en obligation de résultat : on peut leur demander de contribuer à  concrétiser cette ambition : c'est une obligation de moyens<\/em><\/strong><\/span> \ud83c\udfaf Pour qualifier en bloc l'Obligation de Compliance de l'entreprise en Obligation de résultat, il Il faudrait soutenir qu'il ne s'agit de demander aux grandes entreprises non pas de participer à la concrétisation de ces buts d'intérêt général global, mais d'exiger d'elles qu'elles transforment, et immédiatement, le monde en jardin d'Eden où la fraternité est acquise et où aucune pollution n'advient, tout risque étant jugulé. Cela n'est ni raisonnable ni rationnel de faire cela. C'est les condamner par avance car le manquement, ainsi conçu, serait par avance acquis.<\/p>\n

 <\/p>\n

19. <\/strong><\/span>L'on ne doit pas , pour limiter la contrainte pesant sur les entreprises, réduire la Compliance à des process mécaniques<\/em><\/strong><\/span> \ud83c\udfaf Pour échapper à cela, une solution imaginée serait tout autant dommageable. En effet, l'idée pourrait d'abandonner cette définition du Droit de la compliance par les Buts Monumentaux, parce que définition trop ambitieuse, trop politique, trop idéaliste, pour exiger simplement des entreprises qu'elles obéissent aux ordres donnés par le Législateur, qu'elles montrer leur obéissance en tous points à toutes les réglementations applicables et peuvent offrir aux autorités politiques et à toutes parties prenantes une immédiate satisfaction, sauf à être sanctionnées. Qu'elles "cochent les cases" et qu'elles retournent à leur affaire, qui est de faire des affaires.<\/p>\n

C'est alors réduire le Droit de la Compliance à la conformité. Ce système d'obéissance est peu libéral et les personnes soucieuses des libertés récusent cette conception qui se referme sur les États, les entreprises et les personnes qui y travaillent comme un étau38<\/a><\/sup>See for instance \ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Les entreprises "cruciales" et leur régulation<\/em> ("Crucial" companies and their regulation)<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span>A. Supiot (ed.), \ud83d\udcd7<\/span>L'entreprise dans un monde sans frontières. Perspectives économiques et juridiques<\/em><\/a>, 2015.<\/span>. Mais il ne faut réduire le Droit de la compliance à la conformité, qui n'est qu'un outil de celui-ci. Nous renvoyons ici à des travaux de définitions comparées entre les deux pour soutenir cela39<\/a><\/sup>notamment mafr (dir.), Les buts monumentaux de la compliance, <\/em>2022 ; Compliance et conformité : les distinguer pour mieux les articuler, 2024.<\/span>.<\/p>\n

 <\/p>\n

20. <\/strong><\/span>L'on ne doit pas, pour autant, croire sur parole les entreprises dans leur affirmations d'obtenir demain les résultats voulus par d'autres ou par elles-mêmes<\/em><\/strong><\/span> \ud83c\udfaf Mais autant l'on ne peut asservir les entreprises par une obligation d'obéir, totale et aveugle, l'on ne peut se contenter d'affirmations vertueuses des personnes qui, au nom des entreprises et à travers diverses déclarations, disent que demain le résultat sera obtenu, que plus tard l'égalité entre les êtres humains sera atteinte, qu'à terme l'équilibre climatique sera restauré, etc., et qu'on ne peut leur demander davantage parce qu'on ne peut répondre du futur et qu'on n'est responsable que des choses passées et non des choses futures40<\/a><\/sup>Sur la difficulté des engagements, v. mafr, in L'obligation de compliance <\/em>; sur l'engagement comme procédé ayant tendance à remplacer à tort l'obligation probatoire, v. infra <\/em>n°00.<\/span>. <\/p>\n

Il est effectivement très difficile d'engager la responsabilité pour inexécution d'une obligation lorsque celle-ci porte sur le futur, car constitue un oxymore le fait de n'avoir pas atteint des buts qui se situent dans l'avenir. C'est là encore la spécificité de la responsabilité Ex Ante engendrée par la Compliance41<\/a><\/sup>mafr, La Responsabilité Ex Ante, pilier du Droit de la Compliance, 2021.<\/span>. Mais l'on peut encore surmonter cet obstacle.<\/p>\n

 <\/p>\n

21. <\/strong><\/span>Obliger à produire des effets crédibles au regard des Buts Monumentaux de la Compliance<\/em><\/strong><\/span> \ud83c\udfaf En effet, il convient d'obliger les entreprises à montrer les effets que les structures de compliance, qu'elles ont bâties parce qu'elles y sont obligées ou parce qu'elles l'on voulu42<\/a><\/sup>mafr, Obligation sur obligation vaut...<\/span>, ont engendré, ces effets assurant la crédibilité des effets futurs annoncés. En cela, la notion de trajectoire est essentielle et constitue le cœur de l'obligation de compliance. Pour résumer, L'entreprise a une obligation de résultat dans la mise en place de la structure de compliance, une obligation de moyens dans l'usage de cette structure pour atteindre les buts monumentaux et une obligation probatoire de montrer qu'au regard des effets déjà produits il est crédible que la trajectoire permettra sa contribution effective à cette ambition qui pourra dans le futur être concrétisée.<\/strong> Cette obligation probatoire sera développée dans la suite de cette étude43<\/a><\/sup>III. A, .... (mettre le titre) ; n°00   et s.<\/span>.<\/p>\n

 <\/p>\n

 <\/p>\n

II. LE CONSTAT D'UNE PLURALITÉ D'OBLIGATIONS DE RÉSULTAT ET D'OBLIGATIONS DE MOYENS, PIÈCES D'UNE OBLIGATION UNIQUE DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

22. <\/strong><\/span>Les obligations structurelles comme obligations de résultats ; les obligations comportementales comme obligations de moyens <\/strong><\/em>\ud83c\udfafSi l'on répertorie les différentes réglementations, il apparaît le Législateur donne parfois des ordres aux entreprises en leur imposant de mettre en place des structures : il s'agit alors d'obligations de résultat (A<\/strong><\/span>). Mais les effets produits sur les comportements des personnes ou les obligations comportementales elles-mêmes constituent des obligations de moyens (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA MISE EN PLACE PAR L'ENTREPRISE DES STRUCTURES REQUISES  PAR LES  LOIS ET RÉGLEMENTATIONS : OBLIGATIONS DE RÉSULTAT <\/strong><\/span><\/p>\n

23. <\/em><\/strong><\/span>Les 3 types d'obligations de résultats : les obligations <\/em>de plano pour que l'entreprise construise la structure de compliance, les obligations secondaires dans la façon de la construire, les obligations conditionnées à l'apparition d'une situation<\/em> <\/strong>\ud83c\udfafL'examen de toutes les obligations auxquelles les lois de compliance assujettissent les entreprises amène a distinguer trois catégories d'obligations de résultat : des obligations consistant pour l'entreprise, de plano<\/em>, à construire une structure de Compliance<\/span> (1<\/strong><\/span>), des obligations de résultat secondaires liées à la construction et au fonctionnement de ces structures<\/span> (2<\/strong><\/span>) et enfin des obligations de résultat dont  le déclenchement est conditionné à l'apparition d'une situation particulière<\/span> (3<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Obligations de résultat de plano <\/em>pour que l'entreprise construise la structure de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

24. <\/strong><\/span>L'obligation de résultat de constituer, conserver et tenir un registre de données à caractère personnel <\/strong><\/em>\ud83c\udfafL'article 6 du Règlement sur la protection des données à caractère personnel, dit "RGPD<\/strong>"44<\/a><\/sup>mettre l'article 6 RGPD ... ; mettre une ou deux doctrines....<\/span>, oblige l'entreprise assujettie à assurer ses fonctions de constitution, de conservation et de tenue du registre de données personnelles, à en désigner un "responsable"45<\/a><\/sup>c'est-à-dire une personne ayant la charge et le pouvoir : mafr, concevoir le pouvoir, 2021 ; ..... in Les puissances privées.<\/em>.., 2024.<\/span> et à recueillir le consentement des personnes pour en faire usage. L'obtention de ce consentement, la réalité de celui-ci en ce qu'il traduit la libre volonté de la personne concernée à laisser l'entreprise disposer de cette information, ainsi que la transmission de ces informations ont donné lieu à un corps si important qu'on considère souvent qu'il constitue un Droit à part entière : le Droit des données personnelles46<\/a><\/sup>Sur la constitution du Droit des données personnelles, v. par ex. ....<\/span>.<\/p>\n

En Droit européen le consentement est conçu comme l'expression de la libre volonté et doit porter également sur l'usage pour lequel la donnée est traitée. En outre, le traitement de certaines données personnelles est interdit. En ce qui concerne plus particulièrement l'obligation de sécurité que les lois font peser sur l'entreprise assujettie, il apparaît que la mise en place d'une structure assurant la sécurité du registre est requise, mais la CNIL par sa décision du 7 août 201447<\/a><\/sup>CNIL, sanct., 24 août 2014,<\/span> pose que l'effet attendu ne peut être une sécurité absolue : il est attendu de l'entreprise qu'elle ait pris un niveau de sécurité satisfaisant, le constat d'un faille ne suffisant pas à engager sa responsabilité. L'on appréhende à travers cette décision la distinction qui va apparaître dans tous les textes entre la mise en place de ce que l'on pourrait appeler des "structures crédibles"48<\/a><\/sup>The ability of these structures to produce the desired effect, for example the targeted security, is an evidential issue: who must prove the sufficiency of these structures? At first sight, because it is a legal requirement under the Compliance Obligation to which the firm is legally subject, it is up to the firm to prove the credibility of the structures it has put in place to produce the desired effect. But once proven, that is enough. The fact that there has been contrary behaviour, for example someone taking advantage of a security flaw, does not in itself incur liability.<\/span>, obligation de résultat, et la production d'effets par ces structures, obligation de moyens.<\/span> Il apparaît ainsi que la mise en place de la structure des registres et de leur garde est une obligation de résultat, la protection des personnes concernées contre l'usage sans leur volonté des informations est une obligation de moyens, mais il faut que dès le départ l'entreprise montre que la structure qu'elle a mis en place soit "crédible", c'est-à-dire soit suffisamment robuste et efficace pour produire raisonnablement cet effet-là, ce pour quoi l'entreprise fera par ailleurs diligence (obligations de moyens).<\/p>\n

 <\/p>\n

25. <\/strong>L'obligation de résultat de mettre en place une politique, un dispositif, des procédures internes, de gestion des risques, comprenant les différents Outils de Compliance visés par les lois  <\/strong><\/em>\ud83c\udfaf De nombreux textes de Compliance contiennent une obligation première consistant à imposer aux entreprises de mettre en place des dispositifs, politiques, procédures internes de gestion des risques systémiques que ceux-ci cherchent à prévenir. Les textes détaillent ensuite le contenu de cette obligation, qui correspond à l'adoption et la mise en oeuvre de divers Outils de Compliance : cartographie des risques, dispositif d'alerte, formation, etc. Ainsi, la loi "Sapin 2"<\/strong> oblige les entreprises assujetties à prendre des "mesures destinées à prévenir et à détecter la commission […] de faits de corruption ou de trafic d'influence"<\/span>\ud83d\udcce<\/span>49<\/a><\/sup>Loi Sapin 2, art. 17 : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II. [...] II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes :" le texte visant ensuite un code de conduite, une cartographie des risques, un dispositif de formation, etc.<\/span>. En matière financière, le règlement anti-blanchiment<\/strong> exige que les entreprises assujetties "disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité" aux règles anti-blanchiment et de gel des avoirs<\/span>\ud83d\udcce<\/span>50<\/a><\/sup>Règlement anti-blanchiment, art. 9, 1. : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur, et, en particulier: a) à atténuer et gérer efficacement les risques de blanchiment de capitaux et de financement du terrorisme identifiés au niveau de l’Union, de l’État membre et de l’entité assujettie; b) outre l’obligation d’appliquer des sanctions financières ciblées, à atténuer et gérer les risques d’absence de mise en œuvre et de contournement de sanctions financières ciblées.".<\/span>, le droit national imposant quant à lui la mise en place d'une "organisation" et de "procédures internes"<\/span>\ud83d\udcce<\/span>51<\/a><\/sup>CMF, art. L. 561-32 pour la lutte contre le blanchiment d'argent et le financement du terrorisme : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.", et L. 562-4-1 pour le gel des avoirs : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national. ".<\/span>. <\/span>Le RIA<\/strong> impose notamment aux fournisseurs de SIA à haut risque de mettre en place un "système de gestion de la qualité", lequel comprend un "système de gestion des risques", qui implique une identification et évaluation des risques, l'adoption de mesures appropriées, etc.<\/span>52<\/a><\/sup>RIA, art. 16 et 17, renvoyant au système de gestion des risques de l'art. 9, 1. : "1.   Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.".<\/span>. En matière de cybersécurité, le règlement DORA<\/strong> impose aux entités financières assujetties de disposer d'un "cadre de gestion du risque lié aux TIC", qui comprend notamment leurs stratégies, politiques et procédures pour "parer au risque lié aux TIC"<\/span>53<\/a><\/sup>Règlement DORA, art. 6 : "1.  Les entités financières disposent d’un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, faisant partie de leur système global de gestion des risques, qui leur permet de parer au risque lié aux TIC de manière rapide, efficiente et exhaustive et de garantir un niveau élevé de résilience opérationnelle numérique.
\r\n2.  Le cadre de gestion du risque lié aux TIC englobe au moins les stratégies, les politiques, les procédures, les protocoles et les outils de TIC qui sont nécessaires pour protéger dûment et de manière appropriée tous les actifs informationnels et les actifs de TIC, y compris les logiciels, le matériel informatique, les serveurs, ainsi que toutes les composantes et infrastructures physiques pertinentes, telles que les locaux, centres de données et zones sensibles désignées, afin de garantir que tous les actifs informationnels et actifs de TIC sont correctement protégés contre les risques, y compris les dommages et les accès ou utilisations non autorisés.".<\/span>. Elles doivent également adopter des politiques et procédures de sauvegarde et des procédures et méthodes de restauration et de rétablissement<\/span>54<\/a><\/sup>Règlement DORA, art. 12, 1. : "1.  Dans le but de veiller à la restauration des systèmes et des données des TIC en limitant au maximum la durée d’indisponibilité, les perturbations et les pertes, aux fins de leur cadre de gestion du risque lié aux TIC, les entités financières définissent et documentent: a) des politiques et procédures de sauvegarde qui précisent la portée des données concernées par la sauvegarde et la fréquence minimale de celle-ci, en fonction de la criticité des informations ou du niveau de confidentialité des données; b) des procédures et méthodes de restauration et de rétablissement.".<\/span>. La directive NIS 2<\/strong> prévoit quant à elle que les entités essentielles doivent prendre des  "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquelles elles ont recours, puis là encore détaille par la suite le contenu de celles-ci<\/span>55<\/a><\/sup>Directive NIS 2, art. 21, 1. "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.".<\/span>.<\/p>\n

Enfin, la loi "Vigilance"<\/strong> engendre d'une façon semblable une obligation de résultat contraignant l'entreprise à adopter formellement un plan comprenant expressément des Outils de Compliance que le législateur a listé. Les effets produits par ces outils relèvent quant à eux d'une obligation de moyens, comme cela sera développé plus loin, mais l'adoption même de ce plan et la présence de tel ou tel mécanisme de Compliance visé par la loi sont quant à eux, pour l'entreprise assujettie, une obligation de résultat<\/span>\ud83d\udcce<\/span>56<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan comporte les mesures de vigilance raisonnable propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation." ; v. infra n° 00 et n° 00.<\/span>. <\/span><\/p>\n

De la même façon, la CS3D<\/strong>, même si elle n'impose pas l'adoption d'un plan formel de vigilance, impose aux entreprises assujetties l'intégration explicite du devoir de vigilance dans leurs politiques et leurs systèmes de gestion des risques, ce qui correspond donc à une obligation de résultat. Les autres textes européens qui se réfèrent à des mécanismes de vigilance n'exigent pas cette présence explicite des outils de vigilance au sein de la politique générale de l'entreprise ni dans leur système de gestion des risques. Ce formalisme peut éventuellement paraître excessif si l'entreprise parvient à produire par ailleurs les effets attendus par le Législateur. <\/span><\/p>\n

 <\/p>\n

26. <\/strong><\/span>L'obligation de résultat d'adopter un programme, un plan, ou un code de conduite Ex Ante visé par la loi <\/strong><\/em>\ud83c\udfafPlusieurs lois exigent expressément des entreprises qu'elles adoptent de plano <\/em>un plan ou un programme. C'est le cas de la loi "Sapin 2"<\/strong> qui, dans son article 1757<\/a><\/sup>mettre le titre exact de la loi Sapin 2 et recopier (au moins en partie) son article 17 qui décrit l'adoption de la cartographie, du système d'alerte, etc.<\/span>  pose l'obligation pour l'entreprise d'adopter un "code de conduite<\/span>" puis détaille un ensemble de mesures et procédures à mettre en oeuvre<\/span>. Recopiant quasiment le mécanisme, la loi de 2017 dite "Vigilance"<\/strong>58<\/a><\/sup>donner le titre exact de la loi Vigilance ; mafr, ... in La société vigilante<\/em>, 2023.<\/span>, impose à l'entreprise d'<\/span>adopter un plan de vigilance, listant les dispositifs qu'il doit comprendre ou auxquels il doit se référer. Ainsi l'entreprise qui n'en adopte pas alors qu'elle est assujettie à ces lois doit justifier l'inexécution de son obligation légale. Dans le même sens, la directive CS3D<\/strong>, si elle n'impose pas à l'entreprise d'établir un plan de vigilance semblable à celui de la loi française de 2017, l'oblige a intégrer le devoir de vigilance dans ses politiques et systèmes de gestion des risques, et précise que cela doit se matérialiser notamment par un code de conduite\ud83d\udcce59<\/a><\/sup>CS3D, art. art. 7 : "[…] 2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants, et contient l’ensemble des éléments suivants : […] b) un code de conduite décrivant les règles et principes à suivre dans l’ensemble de l’entreprise et de ses filiales, et par les partenaires commerciaux directs ou indirects de l’entreprise conformément à l’article 10, paragraphe 2, point b), à l’article 10, paragraphe 4, à l’article 11, paragraphe 3, point c), ou à l’article 11, paragraphe 5".<\/span>.<\/span><\/p>\n

 <\/p>\n

27. <\/strong><\/span>L'obligation de résultat de mise en place d'un système d'alerte  <\/strong><\/em>\ud83c\udfaf Sous diverses appellations, de nombreux textes imposent à l'entreprise de mettre en place un système d'alerte, permettant à des personnes évoluant en son sein ou à des tiers de lui signaler de potentiels manquements, avec pour objectif que l'entreprise ainsi informée puisse dans un second temps agir. Tel est en premier lieu le cas de la loi "Sapin 2"<\/strong>, laquelle contient les règles d'une sorte de droit commun de l'alerte et impose par ailleurs à l'entreprise de mettre en oeuvre un dispositif d'alerte interne à destination de ses employés<\/span>60<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 2° Un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société".<\/span>. Le mécanisme d'alerte est également une des mesures à inclure dans le plan de vigilance et à mettre en oeuvre au titre de la loi de 2017<\/strong>\ud83d\udcce<\/span><\/span>61<\/a><\/sup>Loi vigilance \/ C. Com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span>. Il fait également partie des éléments composant le devoir de vigilance européen, les entreprises assujetties devant mettre en place un "mécanisme de notification et une procédure relative aux plaintes"<\/span>\ud83d\udcce<\/span>62<\/a><\/sup>CS3D, art. 5, f) : "établir et maintenir un mécanisme de notification et une procédure relative aux plaintes conformément à l’article 14" et art. 14, "Les États membres veillent à ce que les entreprises permettent aux personnes et aux entités énumérées au paragraphe 2 de déposer des plaintes auprès d’elles lorsque ces personnes ou entités ont des préoccupations légitimes quant aux incidences négatives réelles ou potentielles en ce qui concerne les activités des entreprises en question, les activités de leurs filiales ou les activités de leurs partenaires commerciaux dans les chaînes d’activités des entreprises.".<\/span>. Le DSA<\/strong> prévoit quant à lui l'obligation pour les fournisseurs de services d’hébergement de mettre en place des mécanismes de notification, permettant à toute personne de leur signaler un contenu illicite<\/span>63<\/a><\/sup>DSA, art. 16 : "Les fournisseurs de services d’hébergement mettent en place des mécanismes permettant à tout particulier ou à toute entité de leur signaler la présence au sein de leur service d’éléments d’information spécifiques que le particulier ou l’entité considère comme du contenu illicite. Ces mécanismes sont faciles d’accès et d’utilisation et permettent la soumission de notifications exclusivement par voie électronique.".<\/span>. Sans prévoir directement l'obligation pour l'entreprise de mettre en place un dispositif d'alerte ou de signalement spécifique, le DMA<\/strong> prévoit que les signalement de ses violations relèvent de la directive sur le lancement d'alerte, de sorte que le dispositif d'alerte établi par les entreprises en application de ce texte et de ses dispositions nationales de transposition (en France la loi "Sapin 2") permet de lancer l'alerte sur les manquements à ses dispositions. <\/span> En matière de lutte contre le blanchiment d'argent, le règlement européen relatif à la LCB-FT<\/strong> prévoit que les entreprises assujetties doivent établir des canaux de signalement interne\ud83d\udcce<\/span><\/span>64<\/a><\/sup>Règlement anti-blanchiment, art. 14, 2. : "Les entités assujetties établissent des canaux de signalement interne qui satisfont aux exigences énoncées dans la directive (UE) 2019\/1937.".<\/span>.<\/span> <\/span>Quant à la cybersécurité, les entités financières assujetties au règlement DORA<\/strong> ont l'obligation d'établir et mettre en oeuvre un processus de gestion des incidents liés aux TIC, lequel comprend notamment les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC<\/span>65<\/a><\/sup>Règlement DORA, art. 17, 3., d) : "3.  Le processus de gestion des incidents liés aux TIC visé au paragraphe 1: [...] d) établit des plans pour la communication à l’intention du personnel, des parties prenantes externes et des médias, conformément à l’article 14, et pour la notification aux clients, les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC, ainsi que pour la fourniture d’informations aux entités financières qui agissent en tant que contreparties, le cas échéant;".<\/span>. <\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

28. <\/strong><\/span>L'obligation de résultat d'établissement <\/span>d'une cartographie des risques  <\/strong><\/em>\ud83c\udfafLa cartographie des risques est un outil central en Droit de la Compliance<\/span>66<\/a><\/sup>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcddDresser des cartographies des risques comme obligation et le paradoxe des "risques de conformité"<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (dir.), \ud83d\udcd5<\/span>Les outils de la Compliance<\/em><\/a>, <\/em>2021.<\/span>, permettant à l'entreprise d'identifier les risques générés par son activité afin dans un second temps d'agir sur ceux-ci. Il est ainsi logique de retrouver l'obligation d'établir une cartographie des risques dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>, dont l'article 17 vise la cartographie des risques au titre des mesures et procédures que l'entreprise a l'obligation de mettre en place<\/span>\ud83d\udcce<\/span>67<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 3° Une cartographie des risques prenant la forme d'une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d'exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activités et des zones géographiques dans lesquels la société exerce son activité".<\/span><\/span>. C'est également le cas en matière de vigilance, la loi de 2017 <\/strong>prévoyant que la cartographie des risques est l'un des éléments que doit comprendre le plan de vigilance<\/span>68<\/a><\/sup>C. com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : 1° Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation".<\/span>, et la CS3D<\/strong> disposant qu'au titre de leur devoir de vigilance les entreprises assujetties ont l'obligation de recenser et évaluer les incidences négatives réelles ou potentielles, notamment en réalisant une cartographie<\/span>\ud83d\udcce<\/span>69<\/a><\/sup>CS3D, art. 5 : "1. Les États membres veillent à ce que les entreprises fassent preuve d’un devoir de vigilance en matière de droits de l’homme et d’environnement fondé sur les risques tel que défini aux articles 7 à 16 («devoir de vigilance») en prenant les mesures suivantes: [...] recenser et évaluer les incidences négatives réelles ou potentielles conformément à l’article 8 et, si nécessaire, hiérarchiser les incidences négatives réelles et potentielles conformément à l’article 9" et art. 8 : "1. Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour recenser et évaluer les incidences négatives réelles et potentielles découlant de leurs propres activités ou de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, conformément au présent article. 2.Dans le cadre de l’obligation définie au paragraphe 1, compte tenu des facteurs de risque pertinents, les entreprises prennent des mesures appropriées pour: cartographier leurs propres activités, celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, celles de leurs partenaires commerciaux, afin de recenser les domaines généraux dans lesquels les incidences négatives sont les plus susceptibles de se produire et d’être les plus graves; procéder, sur la base des résultats de la cartographie visée au point a), à une évaluation approfondie de leurs propres activités, de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, dans les domaines dans lesquels les incidences négatives ont été recensées comme étant les plus susceptibles de se produire et les plus graves.".<\/span>. <\/span>Quant à la CSRD<\/strong>, elle ne contient pas d'obligation expresse et directe pour l'entreprise d'établir une cartographie des risques. Toutefois, en obligeant l'entreprise à établir et publier un "rapport de durabilité" selon un principe de double matérialité, elle conduit l'entreprise à identifier et évaluer non seulement ses impacts sur les enjeux de durabilité (matérialité d'impact) mais encore les risques et opportunités en lien avec ces enjeux (matérialité financière). Ce faisant, le processus mis en oeuvre se rapproche d'une cartographie, si ce n'est des risques, plus largement des impacts, risques et opportunités. Par ailleurs, <\/span>s'il n'impose pas expressément l'établissement d'une cartographie des risques, le corpus de règles relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong> oblige l'entreprise assujettie à mettre en place des politiques et procédures internes devant comprendre une "réalisation et [une] actualisation de l’évaluation des risques à l’échelle de l’entité"<\/span>\ud83d\udcce<\/span>70<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1. Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...] 2. Les politiques, procédures et contrôles visés au paragraphe 1 comprennent : a) les politiques et procédures internes, y compris en particulier : i) la réalisation et l’actualisation de l’évaluation des risques à l’échelle de l’entité".<\/span><\/span>, ce qui en droit français se traduit par une obligation de définir et mettre en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées<\/span>71<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Le RGPD<\/strong>, quant à lui, ne pose pas d'obligation générale d'établissement d'une cartographie des risques. Toutefois, il prévoit que lorsque le traitement "est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques", alors le responsable de traitement doit préalablement effectuer une "analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel", cette analyse comprenant notamment une évaluation des risques pour les droits et libertés des personnes concernées<\/span>\ud83d\udcce72<\/a><\/sup>RGPD, art. 35, 1. et 7 : "1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. 

\r\n\r\n[…]

\r\n\r\n7. L'analyse contient au moins: […]

\r\n\r\nc) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1".<\/span>. Le DSA<\/strong> impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de recenser, analyser et évaluer tout risque systémique généré par la conception ou le fonctionnement de leurs services et systèmes connexes ou de l'utilisation de leurs services\ud83d\udcce73<\/a><\/sup>DSA, art. 34 : "1. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services.".<\/span>. Cela revient à leur imposer d'établir une cartographie des risques, laquelle n'a pas à être publiée mais doit être conservée en vue d'un éventuel contrôle par la Commission ou les autorités nationales\ud83d\udcce74<\/a><\/sup>DSA, art. 34, 3. : "3. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne conservent les documents justificatifs des évaluations des risques pendant au moins trois ans après la réalisation de ces évaluations, et les communiquent à la Commission et au coordinateur pour les services numériques de l’État membre d’établissement, à leur demande.".<\/span><\/span>. L'IA Act<\/strong> appréhende les différents systèmes d'intelligence artificielle à travers les risques qu'ils génèrent et adopte une approche fondée sur les risques générés.<\/em> Ainsi, pour les systèmes d'IA à haut risque, il est nécessaire d'établir un système de gestion des risques devant comprendre une identification et une analyse des risques que le système d'IA peut ou pourrait engendrer pour la santé la sécurité ou les droits fondamentaux\ud83d\udcce75<\/a><\/sup>IA Act, art. 9 : "1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.

\r\n\r\n2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na) l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination".<\/span>. De même, pour les modèles d'IA à usage général il convient d'identifier les risques systémiques qu'ils génèrent\ud83d\udcce76<\/a><\/sup>IA Act, art. 65 : "1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d’IA à usage général présentant un risque systémique:

\r\n\r\na) effectuent une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d’identifier et d’atténuer les risques systémiques;

\r\n\r\nb) évaluent et atténuent les risques systémiques éventuels au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de modèles d’IA à usage général présentant un risque systémique".<\/span>. En matière de cybersécurité, les fabricants de produits comportant des éléments numériques ont l'obligation d'entreprendre une évaluation des risques de cybersécurité associés à leur produit, afin de recenser les risques et exigences essentielles de cybersécurité pertinents\ud83d\udcce77<\/a><\/sup>Règlement cyberrésilience, dont l'article 13 impose notamment une évaluation des risques de cybersécurité liés à un produit comportant des éléments numériques.<\/span>. Spécifiquement p<\/span>our les entités financières, le règlement DORA<\/strong> impose quant à lui, sans mentionner expressément le terme "cartographie", d'identifier de manière continue toutes les sources de risque lié aux TIC et d'évaluer les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions "métiers" s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC\ud83d\udcce78<\/a><\/sup>Règlement DORA, art. 8, 2. : "2. Les entités financières identifient, de manière continue, toutes les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, et évaluent les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions «métiers» s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC. Les entités financières examinent régulièrement, et au moins une fois par an, les scénarios de risque qui ont des incidences sur elles.".<\/span>. Enfin, la directive NIS 2 <\/strong>impose aux entités essentielles et importantes de prendre des mesures de gestion des risques de cybersécurité, ce qui se traduit notamment par des politiques d'analyse et des évaluations des risques, sans qu'une cartographie stricto sensu<\/em> ne soit exigée\ud83d\udcce79<\/a><\/sup>Directive NIS 2, art. 21 : "2.   Les mesures visées au paragraphe 1 sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins: a)les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information; b)la gestion des incidents; c)la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises; d)la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs; e)la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités; f)des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité; g)les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité; h)des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement; i)la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs; j)l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

\r\n\r\n3.   Les États membres veillent à ce que, lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point d), du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. Les États membres veillent également à ce que, lorsqu’elles examinent lesquelles des mesures visées audit point sont appropriées, les entités soient tenues de prendre en compte les résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées conformément à l’article 22, paragraphe 1.".<\/span>. Là encore, c'est l'existence d'un telle politique qui constitue une obligation de résultat, non sa production d'effets. En dernier lieu, là encore sans aller jusqu'à exiger expressément une cartographie des risques, le règlement déforestation<\/strong> impose aux entreprises assujetties de récolter de l'information quant au respect des exigences du texte par les produits visés et d'évaluer le risque de non-conformité de ceux-ci, ce qui revient in fine<\/em> à exiger des opérateurs une forme de cartographie des risques\ud83d\udcce80<\/a><\/sup>Règlement déforestation, art. 9 sur la collecte d'information et art. 10 sur l'évaluation des risques : "1.   Les opérateurs vérifient et analysent les informations recueillies conformément à l’article 9 ainsi que tout autre document pertinent. Sur la base de ces informations et de cette documentation, les opérateurs procèdent à une évaluation du risque visant à déterminer s’il existe un risque que les produits en cause destinés à être mis sur le marché ou exportés ne soient pas conformes. Les opérateurs ne mettent pas les produits en cause sur le marché ni ne les exportent, sauf si l’évaluation du risque révèle l’existence d’un risque nul ou seulement négligeable que les produits en cause soient non conformes.".<\/span>.<\/span><\/p>\n

\n

 <\/span><\/p>\n<\/div>\n

29. <\/strong><\/span>L'obligation de résultat d'une procédure de connaissance du client (LCB-FT) <\/strong><\/em>\ud83c\udfaf <\/em><\/strong>En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement anti-blanchiment impose à l'entreprise assujettie d'adopter des politiques et procédures internes qui lui permet notamment d'être vigilante à l'égard de ses clients<\/span>81<\/a><\/sup>Règlement anti-blanchiment, art. 9, 2., a), iii) : "2.   Les politiques, procédures et contrôles visés au paragraphe 1 comprennent: [...] iii) la vigilance à l’égard de la clientèle aux fins de la mise en œuvre du chapitre III du présent règlement, y compris des procédures pour déterminer si le client, le bénéficiaire effectif, ou la personne pour le compte ou au profit de laquelle une transaction ou une activité est menée est une personne politiquement exposée ou un membre de la famille ou une personne connue pour être étroitement associée;".<\/span>. Le droit interne prévoit que l'entreprise assujettie est tenue d'appliquer des "mesures de vigilance" à l'égard de ses clients, au titre desquelles elle a notamment l'obligation de résultat de mettre en place des "dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme" ainsi qu'une "politique adaptée à ces risques"\ud83d\udcce<\/span>82<\/a><\/sup>CMF, art. L. 561-4-1, al. 1 et 2 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. De même, les organismes financiers ont l'obligation de mettre en place des dispositifs adaptés permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des avoirs constitue une obligation de résultat\ud83d\udcce<\/span>83<\/a><\/sup>ACPR, Commission des sanctions, 27 nov. 2012, n° 2011-03 : "Considérant que, selon le paragraphe 2.2 de l’article 11-7 du règlement n° 97-02 du CRBF susvisé, les banques doivent se doter de dispositifs adaptés à leurs activités permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des fonds, instruments financiers et ressources économiques ; que les mesures de gel ainsi visées sont aussi bien celles prises dans le cadre communautaire déjà mentionné que celles que peut prendre en complément le ministre chargé de l’économie en vertu de l’article L. 562-1 du COMOFI ; que l’aptitude des dispositifs (dont elles doivent se doter) à la détection des opérations litigieuses met à la charge des banques une obligation de résultat ;".<\/span>. Enfin, au titre de la loi "Sapin 2", l'entreprise assujettie doit établir une procédure d'évaluation des tiers, notamment de ses clients\ud83d\udcce84<\/a><\/sup>Loi Sapin 2, art. 17, II., 4° : "II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;".<\/span>.<\/span><\/p>\n

 <\/p>\n

30. <\/strong><\/span>L'obligation de résultat d'une procédure d'évaluation régulière des tiers <\/strong><\/em>\ud83c\udfafLa procédure d'évaluation des tiers est une obligation issue des lois de Compliance, qu'il s'agisse de la loi dite "Vigilance"<\/strong>, qui exige l'établissement d'une procédure d'évaluation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie\ud83d\udcce85<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] 2° Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie des risques".<\/span><\/span> ou<\/span> de la loi "Sapin 2"<\/strong>, qui prévoit également une telle procédure à son article 17, visant quant à elle les "clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques"\ud83d\udcce86<\/a><\/sup>Loi Sapin 2, art. 17, II. : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques".<\/span>. C'est également le cas en matière d'anti-blanchiment, le règlement anti-blanchiment qui prévoiyant des obligations d'évaluation des clients au titre de des mesures de vigilance que l'opérateur assujetti doit déployer à l'égard de sa clientèle<\/span>\ud83d\udcce87<\/a><\/sup>Règlement anti-blanchiment, art. 20.<\/span>, tout comme les dispositions de droit national88<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin la CS3D pose l'obligation pour les entreprises assujetties de procéder à des "évaluations périodiques" de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux<\/span>\ud83d\udcce89<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>.<\/span> En outre, la directive oblige les entreprises assujetties à recenser les incidences négatives réelles et potentielles non seulement de son activité mais encore de celle de ses filiales et partenaires commerciaux s'insérant dans leur chaîne d'activité, ce qui les conduit à mettre en place de telles procédures<\/span>\ud83d\udcce90<\/a><\/sup>CS3D, art. 8.<\/span>.<\/span><\/p>\n

 <\/p>\n

31. <\/strong>L'obligation de résultat de mettre en place une formation <\/strong><\/em>\ud83c\udfaf La formation est un outil central en matière de Compliance\ud83d\udcce91<\/a><\/sup>\ud83d\udd74\ud83c\udffbM.-A. Frison-Roche, \ud83d\udcddLa formation : contenu et contenant de la Compliance, in<\/em> \ud83d\udd74\ud83c\udffbM.-A. Frison-Roche (dir.), \ud83d\udcd5Les outils de la Compliance<\/em>, 2021.<\/span>, présent dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce92<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 6° Un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d'influence".<\/span>, du règlement anti-blanchiment <\/strong>du 31 mai 2024\ud83d\udcce93<\/a><\/sup>Règlement antiblanchiment, art. 12 : "Les entités assujetties prennent des mesures pour veiller à ce que les membres de leur personnel ou les personnes se trouvant dans une situation comparable dont la fonction l’exige, y compris leurs agents et distributeurs, aient connaissance des exigences découlant du présent règlement, du règlement (UE) 2023\/1113 et de tout acte administratif émis par tout superviseur, et de l’évaluation des risques à l’échelle de l’entité, ainsi que des politiques, procédures et contrôles internes en place dans l’entité assujettie, y compris en ce qui concerne le traitement des données à caractère personnel aux fins du présent règlement.

\r\n\r\nLes mesures visées au premier alinéa comprennent la participation des membres du personnel ou des personnes se trouvant dans une situation comparable, y compris des agents et distributeurs, à des programmes spécifiques de formation continue visant à les aider à reconnaître les opérations susceptibles d’être liées au blanchiment de capitaux ou au financement du terrorisme et à les instruire sur la manière de procéder en pareil cas. Ces programmes de formation sont adaptés à leurs fonctions ou activités et aux risques de blanchiment de capitaux et de financement du terrorisme auxquels l’entité assujettie est exposée, et sont dûment documentés.".<\/span>, ou bien encore des règles de droit national en matière de lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong>\ud83d\udcce94<\/a><\/sup>CMF, art. L. 561-34, al. 2 : "Dans le même but, elles mettent en place toute action de formation utile." et art. R.561-38-1 : "Les personnes mentionnées à l'article L. 561-2 s'assurent que les personnes participant à la mise en œuvre des obligations prévues au présent chapitre disposent d'une expérience, d'une qualification et d'une position hiérarchique adéquates pour exercer leurs missions. En outre, elles veillent à ce que ces personnes bénéficient de formations adaptées à leurs fonctions ou activités, à leur position hiérarchique ainsi qu'aux risques identifiés par la classification des risques mentionnée à l'article L. 561-4-1 et à ce qu'elles aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. ".<\/span> et de gel des avoirs\ud83d\udcce95<\/a><\/sup>CMF, art. R. 562-1 : "Les personnes mentionnées à l'article L. 561-2 veillent à ce que les personnels qui participent à la mise en œuvre des mesures mentionnées au premier alinéa bénéficient de formations appropriées et aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. Les agents mentionnés à l'article L. 523-1 et les personnes auxquelles les établissements de monnaie électronique ont recours en vue de distribuer de la monnaie électronique au sens de l'article L. 525-8 sont assimilés aux personnels des personnes mentionnées à l'article L. 521-1 pour l'application de ces dispositions."<\/span><\/span>. La CS3D<\/strong> mentionne les formations au titre des mesures de soutien qu'un opérateur assujetti doit fournir à un partenaire contractuel qui serait une PME, l'opérateur pouvant ainsi donner accès à des possibilités de formation\ud83d\udcce96<\/a><\/sup>CS3D, art. 10 et 11, rédigés en termes identiques sur ce point, v. pour l'article 10 : "2. Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins: [...] e) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement".<\/span>. Au titre du RGPD<\/strong>, les règles d'entreprise contraignantes doivent notamment comprendre une formation en matière de protection des données personnelles pour les employés ayant un accès permanent ou régulier à de telles données\ud83d\udcce97<\/a><\/sup>RGPD, art. 47, 2. n) : "2.  Les règles d'entreprise contraignantes visées au paragraphe 1 précisent au moins: [...] n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.".<\/span>. Le RIA<\/strong> impose quant à lui une obligation générale de maîtrise de l'IA, qui se traduit notamment par l'obligation pour les fournisseurs et déployeurs de prendre des mesures pour garantir, "dans toute la mesure du possible", "un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte"\ud83d\udcce98<\/a><\/sup>RIA, art. 4 : "Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.".<\/span> <\/strong>et des obligations de formation, par exemple du fournisseurs à l'égard du déployeur d'un SIA à haut risque\ud83d\udcce99<\/a><\/sup>RIA, art. 9, 5., c) : "5.   Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d’IA à haut risque sont jugés acceptables. Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à: [...] c) fournir aux déployeurs les informations requises conformément à l’article 13 et, éventuellement, une formation. ".<\/span>. <\/em>Comme le montre l'expression "dans […] la mesure du possible", l'atteinte du résultat visé, c'est à dire que la formation permette d'augmenter les connaissances et compétences des participants afin d'engendrer, dans un second temps, des comportements qui auront un effet positif sur le système, constitue une obligation de moyens. Seule la mise en place d'une formation constitue une obligation de résultat.<\/span> Enfin, en matière de cybersécurité, le règlement DORA<\/strong> impose quant à lui aux entités financières assujetties d'élaborer des "programmes de sensibilisation à la sécurité des TIC" ainsi que des "formations à la résilience opérationnelle numérique" et de les intégrer à leurs programmes de formation du personnel sous forme de modules obligatoires100<\/a><\/sup>Règlement DORA, art. 13, 6. : "6. Les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu’elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires. Ces programmes et formations sont destinés à tous les employés et aux membres de la direction et présentent un niveau de complexité proportionné à leurs fonctions. Le cas échéant, les entités financières incluent également les prestataires tiers de services TIC dans leurs programmes de formation pertinents conformément à l’article 30, paragraphe 2, point i).".<\/span>. <\/span><\/p>\n

Ainsi, si l'existence de la formation (effectivité) constitue une obligation de résultat, la propension de celle-ci à atteindre le but fixé (efficacité) – en l'occurrence l'acquisition de connaissances par les participants – et à produire dans un second temps des effets sur le système (efficience) relèvent quant à elles d'obligations de moyens.<\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

32. <\/strong>L'obligation de résultat de mettre en place un dispositif de contrôle interne, ou de suivi des mesures <\/strong><\/em>\ud83c\udfafLes entreprises ne doivent pas seulement adopter des "mesures" permettant de détecter, prévenir et le cas échéant remédier aux risques visés par les différents textes de Compliance, elles ont en outre l'obligation de contrôler la production d'effets par celles-ci, afin le cas échéant d'adapter lesdites mesures, les changer ou en adopter de nouvelles. C'est pourquoi les différents textes de Compliance obligent les entreprises à mettre en place des dispositif de suivi des mesures prises. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce101<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 8° Un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre."<\/span><\/span>, de la loi "Vigilance"<\/strong>\ud83d\udcce102<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] <\/span>5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité"<\/span> ou bien encore de la CS3D103<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>. L'IA Act<\/strong> prévoit quant à lui une procédure d'évaluation de la conformité fondée sur le contrôle interne, à laquelle doivent recourir certains fournisseurs de SIA à haut risque pour évaluer la conformité de celui-ci\ud83d\udcce104<\/a><\/sup>RIA, art. 43, qui renvoie à l'annexe VI : "1. La procédure d'évaluation de la conformité fondée sur le contrôle interne est la procédure d'évaluation de la conformité décrite aux points 2, 3 et 4.

\r\n\r\n2. Le fournisseur vérifie que le système de gestion de la qualité établi est conforme aux exigences de l'article 17.

\r\n\r\n3. Le fournisseur examine les informations contenues dans la documentation technique afin d'évaluer la conformité du système d'IA aux exigences essentielles pertinentes énoncées au chapitre III, section 2.

\r\n\r\n4. Le fournisseur vérifie également que le processus de conception et de développement du système d'IA et son système de surveillance après commercialisation prévu à l'article 72 sont cohérents avec la documentation technique.".<\/span>. Il en va de même pour le fabricant qui aurait à démontrer la conformité d'un produit comportant des éléments numérique au règlement cyberrésilience<\/strong>\ud83d\udcce105<\/a><\/sup>Règlement cyberrésilience, art. 32.<\/span>. Le règlement DORA impose quant à lui aux entittés financières assujetties de disposer d'un cadre de contrôle interne\ud83d\udcce106<\/a><\/sup>Règlement DORA, art. 5, 1. : "1.  Les entités financières disposent d’un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux TIC, conformément à l’article 6, paragraphe 4, en vue d’atteindre un niveau élevé de résilience opérationnelle numérique.".<\/span>. En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong> prévoit que les entreprises assujetties doivent mettre en place des mesures de contrôle interne\ud83d\udcce107<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...]".<\/span>, tout comme le droit national<\/strong>\ud83d\udcce108<\/a><\/sup>CMF, art. L. 561-2, I.  : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.".<\/span>, y compris en matière de gel des avoirs\ud83d\udcce109<\/a><\/sup>CMF, art. L. 562-4-1, I. : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national.".<\/span>. Le DSA<\/strong> comme le DMA<\/strong> obligent les entreprises assujetties à mettre en place une fonction de vérification de la conformité, chargé d'opérer un contrôle du respect du règlement\ud83d\udcce<\/span>110<\/a><\/sup>DMA, art. 28.<\/span>. Enfin, le règlement déforestation<\/strong> prévoit également la mise en place de mesures de contrôle interne, afin de détecter et prévenir le risque de non-conformité au règlement des produits en cause\ud83d\udcce111<\/a><\/sup>Règlement déforestation, art. 11, 2. : "2.   Les opérateurs mettent en place des stratégies, des contrôles et des procédures suffisants et proportionnés pour atténuer et gérer efficacement les risques détectés de non-conformité des produits en cause. Ces politiques, contrôles et procédures comprennent notamment:

\r\n\r\na)les pratiques en matière de gestion des risques de modèles, la production de rapports, la tenue de registres, le contrôle interne et la gestion de la conformité, y compris la désignation d’un responsable de la conformité au niveau de l’encadrement pour les opérateurs qui ne sont pas des PME;

\r\n\r\nb)une fonction d’audit indépendante chargée de vérifier les stratégies, contrôles et procédures internes visés au point a) pour tous les opérateurs qui ne sont pas des PME.".<\/span>. <\/span><\/p>\n

 <\/div>\n

2. Obligations de résultat secondaires dans la construction et le fonctionnement des structures de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

33. <\/strong><\/span>Obligation de concertation avec les parties prenantes : exigence de la loi Vigilance et de la CS3D ; absence d'exigence de la CSRD  <\/strong><\/em>\ud83c\udfafAfin de satisfaire son Obligation de Compliance, l'entreprise a besoin d'information. C'est à ce titre qu'il est courant de retrouver dans les textes des incitations, voire des obligations, de dialogue avec les parties prenantes. Ainsi, en matière de vigilance, si en application de la loi française dite "Vigilance"<\/strong> le plan de vigilance "a vocation à être élaboré en association avec les parties prenantes"<\/span>\ud83d\udcce<\/span>112<\/a><\/sup>C. com., art. L.225-102-1 : <\/span>"Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale".<\/span> – ce qui ne signifie pas co-construit – le mécanisme d'alerte qu'il comprend doit quant à lui être élaboré "en concertation avec les organisations syndicales représentatives"<\/span>\ud83d\udcce113<\/a><\/sup>C. com., art. L.225-102-1 : "4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span><\/span>, ce qui va plus loin que la simple association et "suppose une transmission d'éléments d'information et un échange de points de vue et de propositions sur la rédaction du contenu et la mise en oeuvre du mécanisme à établir, en vue, et donc en amont, de son élaboration"<\/span>\ud83d\udcce114<\/a><\/sup>CA Paris, La Poste.<\/span>. Dans le même sens, la CS3D<\/strong> impose une association des parties prenantes aux différents stades du devoir de vigilance, de la collecte des informations à l'élaboration d’indicateurs qualitatifs et quantitatifs de suivi\ud83d\udcce115<\/a><\/sup>La proposition de directive dite "content" du "Package Omnibus I" réduirait les étapes concernées par cette obligation, en n'imposant désormais plus d'association pour la décision de suspension ou de rupture d'une relation commerciale et pour l"élaboration d’indicateurs qualitatifs et quantitatifs de suivi.<\/span>. L'entreprise a ainsi l'obligation de "mener des échanges constructifs avec les parties prenantes"\ud83d\udcce116<\/a><\/sup>CS3D, art. 5, 1., e) : "mener des échanges constructifs avec les parties prenantes conformément à l’article 13"<\/span> et de prendre des "mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes"\ud83d\udcce117<\/a><\/sup>CS3D, art. 13, 1 : "Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes, conformément au présent article."<\/span>. De manière plus spécifique, le texte prévoit que la "politique en matière de devoir de vigilance" est "élaborée après concertation avec les salariés de l’entreprise et leurs représentants"\ud83d\udcce118<\/a><\/sup>CS3D, art. 7, 2. : "2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants [...]".<\/span>.<\/span><\/p>\n

Il convient toutefois de souligner que ces diverses obligations de prise en compte, d'association des parties prenantes ne vont pas jusqu'à permettre à celles-ci de décider de la stratégie et de la gestion de l'entreprise, ni même de "co-décider". La distinction entre les shareholders<\/em> et les stakeholders<\/em> demeure. Les parties prenantes sont consultées parce qu'elles matérialisent une partie des intérêts qui sont extérieurs à l'entreprise et qu'on lui demande de connaître et de "prendre en considération".<\/span><\/p>\n

Au contraire, une telle exigence ne figure pas dans la CSRD. Il est en effet essentiel de distinguer l'obligation de faire, de l'obligation de dire, de l'incitation à consulter les parties prenantes. Dans<\/span> la CSRD, il ne s'agit aucunement d'une obligation de faire qui consisterait à consulter les parties prenantes dans l'élaboration du rapport de durabilité, mais simplement, d'une part d'une recommandation d'associer celles-ci dans l'élaboration du rapport<\/span>\ud83d\udcce<\/span>119<\/a><\/sup>Règlement délégué ESRS, ESRS 1, 3.1 : "24. Le dialogue avec les parties prenantes affectées est un élément essentiel pour le processus permanent de vigilance raisonnable de l’entreprise (voir chapitre 4 Vigilance raisonnable) et pour l’évaluation de la matérialité en matière de durabilité. Il est également crucial pour les processus d’identification et d’évaluation des impacts négatifs, réels et potentiels, qui contribuent à leur tour au processus d’évaluation visant à identifier les impacts matériels aux fins de l’information en matière de durabilité (voir section 3.4 de la présente norme).".<\/span>, et d'autre part d'une obligation de dire, qui consiste pour l'entreprise à reporter <\/em>sur la manière dont les intérêts et points de vue des parties prenantes sont "pris en considération par l’entreprise dans sa stratégie et son modèle économique"<\/span>\ud83d\udcce<\/span>120<\/a><\/sup>V. not. règlement délégué ESRS, "Exigence de publication SBM-2 — Intérêts et points de vue des parties prenantes"<\/span><\/span>. En revanche, si les entreprises organisent une telle concertation, ce que de fait elles font, c'est parce qu'elles font usage de leur volonté et non pas pour obéir à la loi121<\/a><\/sup>Pour plus de développements, v. Obligation sur Obligation vaut et A quoi engagent les engagements.<\/span>.<\/div>\n
 <\/div>\n
D'une façon plus générale, les diverses réglementations ne posent pas une consultation des parties prenantes122<\/a><\/sup>RGPD - consultation parties prenantes concerne les autorités publiques (et moins présent)<\/span>

\r\n\r\nIA Act - consultation<\/span> parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nData Act - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDGA - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nR LCBFT - non (1 occurrence dans un considérant)<\/span>

\r\n\r\nD LCBFT  - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nCyberrésilience - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDORA - communication aux parties prenantes, donc pas concertation

\r\n\r\n\r\nNIS 2 - concerne les autorités publiques : information des parties prenantes et inclusion de celles-ci dans le plan national <\/span>

\r\n\r\nDSA - concerne les autorités publiques et pas une concertation<\/span>

\r\n\r\nDMA - non<\/span><\/span>. La tendance de certains auteurs à désigner la consultation des parties prenantes comme étant une sorte de règle générale n'est donc pas exacte. Il s'agit davantage d'une pratique mise en place par les organes de direction.<\/div>\n
\n

 <\/p>\n<\/div>\n

34. <\/strong><\/span>Obligation de publicité des structures de Compliance  <\/strong><\/em>\ud83c\udfaf Plusieurs textes de Compliance obligent les entreprises non seulement à adopter des structures de Compliance, mais encore à rendre compte de celles-ci en les exposant dans un document rendu public. Tel est le cas de la loi "Vigilance", qui oblige l'entreprise à publier son plan de vigilance et le compte-rendu effectif de la mise en oeuvre de celui-ci dans son rapport de gestion\ud83d\udcce123<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan de vigilance et le compte rendu de sa mise en œuvre effective sont rendus publics et inclus dans le rapport de gestion mentionné au deuxième alinéa de l'article L. 225-100.".<\/span>. La CS3D impose quant à elle à l'entreprise assujettie de "communiquer publiquement sur le devoir de vigilance", en publiant sur leur site internet une "déclaration annuelle" qui correspond à un "rapport sur les questions couvertes par la […] directive"\ud83d\udcce124<\/a><\/sup>CS3D, art. 5, 1., h) et art. 16.<\/span>.<\/span><\/p>\n

La CSRD impose quant à elle aux entreprises assujetties de publier des informations en matière de durabilité – plus connues sous l'appellation "rapport de durabilité" -, au sein d'une section de leur rapport de gestion125<\/a><\/sup>CSRD, art. 1er.<\/span>. <\/p>\n

On mesure en pratique que les entreprises publient davantage que la loi ne les y contraint, soit qu'elles rendent spontanément disponible des informations qui ne sont que quérables à l'initiative des personnes intéressées, soit qu'elles publient des informations qui pourraient demeurer purement et simplement internes. Il s'agit alors d'une politique volontaire qui leur est propre. <\/p>\n

 <\/p>\n

35. <\/strong><\/span>L'obligation de résultat d'organiser un système interne de sanctions disciplinaires : exigence de la loi "Sapin 2" <\/span> <\/strong><\/em>\ud83c\udfafL'article 17 de la loi dite "Sapin 2"<\/span>126<\/a><\/sup>insérer la disposition de l'article 17 de la loi Sapin 2 sur l'obligation de mettre en place un système de sanction disciplinaire. <\/span><\/span> impose à l'entreprise la mise en place d'un "régime disciplinaire permettant de sanctionner les salariés de la société en cas de violation du code de conduite de la société".<\/span> Il n'y a que la loi "Sapin 2" qui oblige les entreprises à l'adoption d'un tel système de sanction disciplinaire. On observe en pratique que des entreprises ont choisi d'organiser spontanément un tel système pour accroitre l'efficacité d'autres corpus réglementaires.<\/p>\n

 <\/p>\n

3. Obligations de résultat conditionnée à l'apparition d'une situation particulière <\/strong><\/span><\/p>\n

 <\/p>\n

36. <\/strong><\/span>L'obligation de résultat conditionnée de mettre en place des actions adaptées et suivies d'atténuation des atteintes ou des risques d'atteinte : apparition de cette obligation s'il apparaît une perspective d'atteintes graves ou de risques avérés <\/strong><\/em> <\/strong><\/em>\ud83c\udfafLes textes de Compliance sont fondés sur une approche par les risques. Ainsi, une fois que l'entreprise a identifié les risques que le texte en cause cherche à prévenir, notamment via une cartographie de ceux-ci, elle doit agir en considération de ceux-ci. Les textes obligent ainsi les entreprises à adopter des "mesures adaptées", des "mesures appropriées", etc., c'est-à-dire des mesures adéquates et proportionnées au regard des risques qu'elles ont identifiés, afin de prévenir la réalisation de ceux-ci et le cas échéant d'y remédier voire de réparer. C'est donc cette identification première d'un risque, qui déclenche l'obligation d'adoption par l'entreprise assujettie de telles mesures. En outre, si l'adoption et la mise en place de la mesure, le fait qu'elle existe (effectivité), constitue une obligation de résultat, le caractère "adapté" ou "approprié" de celle-ci, c'est à dire sa capacité à atteindre le but fixé (efficacité) et à produire des effets systémiques (efficience), constitue nécessairement une obligation de moyens.<\/span><\/p>\n

La loi dite "Sapin 2" <\/strong>impose aux entreprises de mettre en place un "dispositif de contrôle et d'évaluation interne des mesures mises en œuvre"<\/span>127<\/a><\/sup>Loi Sapin 2, art. 17, I. : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II.".<\/span>. La loi "Vigilance"<\/strong> <\/span>pose que l'entreprise doit prendre des "actions adaptées d'atténuation des risques et de prévention des atteintes graves" et doit organiser le suivi de ces actions128<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 3° Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves ; [...] 5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.".<\/span>. De nombreux textes européens obligent l'entreprise à prendre des "mesures appropriées" afin de prévenir les risques identifiés. Tel est le cas du règlement déforestation129<\/a><\/sup>Règlement déforestation, art. 11 : "1.  À l’exception des cas où une évaluation du risque effectuée conformément à l’article 10 révèle qu’il existe un risque nul ou seulement négligeable que les produits en cause soient non conformes, l’opérateur, avant de mettre les produits en cause sur le marché ou de les exporter, adopte des procédures et mesures d’atténuation du risque appropriées pour parvenir à un risque nul ou seulement négligeable. Ces procédures et mesures peuvent inclure l’un ou l’autre des éléments suivants:

\r\n\r\na) une demande d’informations, de données ou de documents supplémentaires;

\r\n\r\nb) la réalisation d’enquêtes ou d’audits indépendants;

\r\n\r\nc) l’adoption d’autres mesures ayant trait aux exigences en matière d’informations énoncées à l’article 9.".<\/span>, de la CS3D<\/strong>, qui oblige à prendre des "mesures appropriées" notamment afin de prévenir les "incidences négatives"<\/span>\ud83d\udcce<\/span>130<\/a><\/sup>CS3D, art. 10, 2. : "2.  Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins:

\r\n\r\na) si nécessaire, en raison de la nature ou de la complexité des mesures requises pour la prévention, élaborer et mettre en œuvre sans retard injustifié un plan d’action en matière de prévention, assorti de calendriers raisonnables et clairement définis pour la mise en œuvre des mesures appropriées et d’indicateurs qualitatifs et quantitatifs permettant de mesurer les améliorations; les entreprises peuvent élaborer leurs plans d’action en coopération avec les initiatives sectorielles ou multipartites; le plan d’action en matière de prévention est adapté aux activités et à la chaîne d’activités des entreprises;

\r\n\r\nb) s’efforcer d’obtenir de la part d’un partenaire commercial direct des garanties contractuelles par lesquelles ce dernier s’engage à respecter le code de conduite de l’entreprise et, en tant que de besoin, un plan d’action en matière de prévention, notamment en instaurant des garanties contractuelles correspondantes de la part de ses partenaires, dans la mesure où leurs activités font partie de la chaîne d’activités de l’entreprise. Lorsque de telles garanties contractuelles sont obtenues, le paragraphe 5 s’applique;

\r\n\r\nc) réaliser les investissements financiers ou non financiers, les ajustements ou les améliorations nécessaires, par exemple dans les installations, les processus et infrastructures de production ou d’autres processus et infrastructures opérationnels;

\r\n\r\nd) apporter les modifications ou améliorations nécessaires au plan d’entreprise, aux stratégies globales et aux activités de l’entreprise, y compris les pratiques en matière d’achat, de conception et de distribution;

\r\n\r\ne) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement;

\r\n\r\nf) dans le respect du droit de l’Union, y compris du droit de la concurrence, collaborer avec d’autres entités, y compris, le cas échéant, pour renforcer la capacité de l’entreprise à prévenir ou à atténuer l’incidence négative, en particulier lorsque aucune autre mesure n’est appropriée ou efficace.".<\/span>, ou bien encore le RIA<\/strong>, qui au titre du système de gestion des risques mis en place en cas de système d'IA à haut risque impose "l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés"<\/span>\ud83d\udcce<\/span>131<\/a><\/sup>RIA, art. 9, 2. : "2.   Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na)l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination;

\r\n\r\nb)l’estimation et l’évaluation des risques susceptibles d’apparaître lorsque le système d’IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible;

\r\n\r\nc)l’évaluation d’autres risques susceptibles d’apparaître, sur la base de l’analyse des données recueillies au moyen du système de surveillance après commercialisation visé à l’article 72;

\r\n\r\nd)l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés en vertu du point a).".<\/span>. Toujours au regard des risques identifiés et de manière proportionnée, le RGPD<\/strong> exige du responsable de traitement et de son éventuel sous-traitant de mettre en oeuvre des "techniques et organisationnelles appropriées"<\/span>\ud83d\udcce<\/span>132<\/a><\/sup>RGPD, art. 32, 1. : "1.  Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

\r\n\r\na) la pseudonymisation et le chiffrement des données à caractère personnel;

\r\n\r\nb) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

\r\n\r\nc) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

\r\n\r\nd) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.".<\/span>. Le DSA<\/strong> oblige les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne à mettre en place des mesures d'atténuation des risques, désignées comme "mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés"<\/span>\ud83d\udcce<\/span>133<\/a><\/sup>DSA, art. 35 : "1.  Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant".<\/span>. L'on retrouve là encore l'adoption de telles mesures au regard des risques identifiés et la proportionnalité. Tel est également le cas en matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong>, qui exige l'adoption de "mesures appropriées" de gestion des risques<\/span>\ud83d\udcce<\/span>134<\/a><\/sup>Règlement anti-blanchiment, art. 10 : "Avant le lancement de nouveaux produits, services ou pratiques commerciales, y compris l’utilisation de nouveaux canaux de distribution et de technologies nouvelles ou en cours de développement, en liaison avec des produits et services nouveaux ou préexistants, ou avant de commencer à fournir un service ou produit existant à un nouveau segment de clientèle ou dans une nouvelle zone géographique, les entités assujetties recensent et évaluent, en particulier, les risques de blanchiment de capitaux et de financement du terrorisme qui y sont liés et prennent des mesures appropriées afin de gérer et d’atténuer ces risques." et art. 20.<\/span>, ou du droit national<\/strong> qui, au titre des obligations de vigilance à l'égard de la clientèle, exigent la mise en place d'une "politique adaptée" aux risques identifiés<\/span>\ud83d\udcce<\/span>135<\/a><\/sup>CMF, art. L. 561-4-1, al. 2 : "A cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin, en matière de cybersécurité, les fabricants de produits comportant des éléments numérique doivent disposer de "politiques et procédures appropriées" en application du règlement cyberrésilience<\/strong><\/span>\ud83d\udcce<\/span>136<\/a><\/sup>Règlement cyberrésilience, art. 13, 8. : "[...] Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.".<\/span>, les entités financières doivent déployer des "outils,  […] stratégies et […] procédures appropriés en matière de sécurité des TIC aux termes du règlement DORA<\/strong> et, enfin, en application de la directive NIS 2<\/strong>, les entités essentielles et importantes doivent adopter des "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquels elles ont recours<\/span>\ud83d\udcce<\/span>137<\/a><\/sup>Directive NIS 2, art. 21 : "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

\r\n\r\nLes mesures visées au premier alinéa garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Lors de l’évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.".<\/span>.<\/span><\/p>\n

La mise en place de telles mesures "adaptées" ou "appropriées", le fait qu'elles existent (effectivité), constitue une obligation de résultat. En revanche, la production d'effets par celles-ci qui sont de nature à atteindre les objectifs fixés par la règle (efficacité) et ainsi à affecter le système (efficience), relève quant à elle d'une obligation de moyens. <\/span><\/p>\n

En outre, dès l'instant que la mesure élaborée par l'entreprise assujettie porte effectivement sur la difficulté ou la défaillance identifiée, elle est présumée adaptée. C'est donc à celui qui se prévaudrait de la mesure effectivement adoptée, en alléguant qu'elle est néanmoins inadaptée, de démontrer son inadaptation.<\/span><\/div>\n

 <\/p>\n

37. <\/strong><\/span>L'obligation de résultat conditionnée de transmission ou de non-transmission d'information à des tiers : apparition de cette obligation si l'on est détenteur de l'information  <\/strong><\/em>\ud83c\udfaf En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, les professionnels assujettis ont l'obligation de déclarer à Tracfin les sommes ou opérations portant sur des sommes "dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme"<\/span>138<\/a><\/sup>CMF, art. L. 561-15 : "".<\/span>. Les personnes qui n'entreraient pas dans la liste des professionnels assujettis (, etc.) et qui "<\/span>dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux<\/span>"<\/span> ont quant à elle l'obligation d'effectuer une déclaration au procu<\/span>reur pour des opérations dont elles ont connaissance et dont elles savent que les sommes en cause proviennent d'une infraction visée à l'article L. 561-15 du CMF<\/span>139<\/a><\/sup>CMF, art. L. 561-1 : "Les personnes autres que celles mentionnées à l'article L. 561-2 qui, dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux, sont tenues de déclarer au procureur de la République les opérations dont elles ont connaissance et qui portent sur des sommes qu'elles savent provenir de l'une des infractions mentionnées à l'article L. 561-15.".<\/span>.<\/span><\/p>\n

Ces obligations de déclaration se déclenchent en raison de la connaissance de la provenance illégale des sommes pour la seconde et de la connaissance, du soupçon ou de l'existence d'indices permettant de soupçonner cette origine illégale pour la première. Dans les deux cas ces obligations n'imposent pas à l'opérateur de rechercher des informations quant à l'origine des fonds. D'autres obligations, notamment de vigilance, l'amèneront pour partie à le faire. Mais ici il n'a pas à chercher à collecter des informations, il n'a pas une obligation de savoir. En revanche, s'il acquiert cette connaissance, ou s'il soupçonne ou devrait soupçonner, en raison des éléments de faits entourant les sommes ou l'opération, que celles-ci présentant un caractère illégal, alors son obligation de déclaration se déclenche.<\/span><\/p>\n

Toutefois, il se peut que cette obligation de déclaration soit bloquée, en ce qu'elle se heurterait à un secret. Ainsi et par exemple, les avocats qui interviennent dans une activité juridictionnelle ou donnent une consultation juridique (à condition que celle-ci ne soit pas fournies à des fins de blanchiment de capitaux ou de financement du terrorisme et\/ou que l'avocat ne sache pas que c'est à cette fin que le client le demande) n'ont pas à effectuer de déclaration<\/span>\ud83d\udcce<\/span>140<\/a><\/sup>CMF, art. L. 561-3, II. : "II. – Les avocats au Conseil d'Etat et à la Cour de cassation, les avocats et les personnes mentionnées au 18° de l'article L. 561-2 dans l'exercice d'une activité mentionnée au I ne sont pas soumis aux dispositions de la section 4 du présent chapitre et de l'article L. 561-25 lorsque l'activité se rattache à une procédure juridictionnelle, que les informations dont ils disposent soient reçues ou obtenues avant, pendant ou après cette procédure, y compris dans le cadre de conseils relatifs à la manière d'engager ou d'éviter une telle procédure, non plus que lorsqu'ils donnent des consultations juridiques, à moins qu'elles n'aient été fournies à des fins de blanchiment de capitaux ou de financement du terrorisme ou en sachant que le client les demande aux fins de blanchiment de capitaux ou de financement du terrorisme.".<\/span>. Le secret, qui constitue une obligation de non-transmission d'information, fait ainsi, par exception, échec à leur obligation de déclaration, c'est à dire de transmission d'information. En outre, ce même secret justifie que, lorsqu'ils interviennent au titre de leur activité de conseil et hors consultation juridique, leur obligation de déclaration soit aménagée : il existe un filtre du bâtonnier, de sorte qu'ils ne transmettent pas l'information directement à Tracfin mais à leur bâtonnier, qui à son tour communiquera l'information à Tracfin s'il estime que les conditions sont réunies<\/span>\ud83d\udcce<\/span>141<\/a><\/sup>CMF, art. L. 561-17, al. 1er : "Par dérogation aux articles L. 561-15 et L. 561-16, l'avocat au Conseil d'Etat et à la Cour de cassation ou l'avocat ou la caisse des règlements pécuniaires des avocats communique la déclaration, selon le cas, au président de l'ordre des avocats au Conseil d'Etat et à la Cour de cassation ou au bâtonnier de l'ordre auprès duquel l'avocat est inscrit ou au bâtonnier de l'ordre auprès duquel est inscrit l'avocat ayant déposé les fonds, effets ou valeurs faisant l'objet de cette déclaration. Dès lors que les conditions fixées à l'article L. 561-3 sont remplies, ces autorités transmettent la déclaration au service mentionné à l'article L. 561-23, dans les délais et selon les modalités définis par décret en Conseil d'Etat.".<\/span>.<\/span><\/p>\n

 <\/p>\n

38. <\/strong>L'obligation de résultat conditionnée d'action sur un contenu illicite : apparition de cette obligation si l'on est détenteur de l'information – le DSA  <\/strong><\/em>\ud83c\udfaf Le DSA commence par poser que les fournisseurs de service de la société de l'information ne sont en principe pas "responsables" du simple transport, de la mise en cache ou de l'hébergement de contenus illicites<\/span>\ud83d\udcce<\/span>142<\/a><\/sup>DSA, art. 4, 5 et 6.<\/span>. L'on retrouve ici la traditionnelle distinction entre l'éditeur et l'hébergeur d'un contenu, le second n'étant en principe pas responsable en raison de celui-ci<\/span>\ud83d\udcce<\/span>143<\/a><\/sup>Pour une présentation des obligations de vigilance des opérateurs assujettis au DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Ces mêmes opérateurs n'ont en outre aucune obligation générale de "surveillance ou de recherche active de faits" illicites<\/span>\ud83d\udcce<\/span>144<\/a><\/sup>DSA, art. 8 : "Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales.".<\/span>. <\/span><\/p>\n

Toutefois, à partir du moment où l'opérateur assujetti acquiert la connaissance de l'existence d'un contenu illicite, par une injonction d'agir émanant des autorités publiques<\/span>\ud83d\udcce<\/span>145<\/a><\/sup>DSA, art. 9.<\/span> ou par une notification émanant de toute personne<\/span>\ud83d\udcce<\/span>146<\/a><\/sup>DSA, art. 16.<\/span> ou d'un signaleur de confiance<\/span>\ud83d\udcce<\/span>147<\/a><\/sup>DSA, art. 22.<\/span>, il perd le bénéfice de cette exemption de responsabilité et a l'obligation d'agir sur le contenu en cause<\/span>\ud83d\udcce<\/span>148<\/a><\/sup>Pour une présentation complète et détaillée des obligations des opérateurs numériques en lien avec le DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Le déclenchement de son obligation d'agir est ainsi conditionnée à son information préalable, par un tiers, de l'existence d'un contenu illicite. En revanche, le fait pour l'opérateur de procéder "de [sa] propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires" ou de prendre "d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible" ne lui fait pas perdre le bénéfice des exemptions précitées et ne déclenche pas d'obligation d'action<\/span>\ud83d\udcce<\/span>149<\/a><\/sup>DSA, art. 7 : "Les fournisseurs de services intermédiaires ne doivent pas être réputés inéligibles aux exemptions de responsabilité prévues aux articles 4, 5 et 6 du simple fait qu’ils procèdent de leur propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires ou prennent d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible, ou qu’ils prennent les mesures nécessaires pour se conformer aux exigences du droit de l’Union et du droit national conforme au droit de l’Union, y compris les exigences énoncées dans le présent règlement.".<\/span>. <\/span><\/p>\n

 <\/p>\n

39. <\/strong><\/span>L'enjeu majeur de la charge de prouver l'existence de la situation déclenchant l'obligation de résultat <\/strong><\/em>\ud83c\udfafLorsque la situation est constituée, par exemple lorsque l'information est connue, lorsque la sanction est prononcée, l'obligation de compliance est de résultat : l'entreprise doit transmettre l'information ou au contraire ne pas la communiquer, l'établissement doit geler les avoirs. Mais la question est de savoir qui doit prouver l'existence même de cette situation qui déclenche l'obligation de résultat : est-ce celui qui doit agir (transmettre l'information, rendre indisponible l'information, rendre l'indisponible l'avoir, etc.) ou est-ce celui qui veut bénéficier de l'exécution de l'obligation de résultat ? Par exemple l'Autorité de régulation, ou une partie prenante ? Est-ce à eux de démontrer que celui qu'ils désignent comme assujetti à cette obligation était bien dans la situation qui le contraignait ? Ou doit-on considérer que c'est encore à l'entreprise de démontrer qu'elle était dans la situation requise pour agir (et geler par exemple un avoir) ou pour ne pas agir (et par exemple ne transmettre une information car les éléments constituant un soupçon n'étaient pas réunis) ?.<\/p>\n

Parce que nous sommes dans un système libéral, c'est à celui qui prétend que l'entreprise aurait dû agir ou aurait dû ne pas agir de démontrer qu'elle était dans une situation qui avait engendré son obligation (par exemple un fonctionnement objectivement anormal d'un compte bancaire, obligeant l'établissement à opérer des contrôles et à transmettre des informations sur les personnes).<\/p>\n

Parce que les charges de preuve ne sont pas si tranchées en pratique, les entreprises doivent toujours préconstituer la preuve de leurs diligences dans le contrôle des situations dans lesquelles elles sont impliquées (flux d'argent, gestion d'infrastructure impliquant les personnes et la nature) même si la charge de preuve ne leur incombe pas car dans un débat autour d'une Obligation de  Compliance qui se traduit par une action en continu la passivité probatoire n'est pas pour autant adéquate.<\/p>\n

 <\/p>\n

B. LES EFFETS ATTENDUS DU FONCTIONNEMENT DE LA STRUCTURE DE COMPLIANCE, CONSTITUTIFS D'OBLIGATIONS DE MOYENS <\/strong><\/span><\/p>\n

40. <\/span>De Droit, tout ce qui n'est pas une obligation de résultat doit recevoir le statut d'une obligation de moyens <\/em><\/strong>\ud83c\udfafDans un Etat de Droit fondé sur la liberté des personnes, tout ce qui n'est pas une action précise expressément exigée par la loi à la charge des personnes assujetties mais relève d'une mission générale doit être qualifiée d'une obligation de moyens. Cela implique que le fait de ne pas atteindre le résultat immédiatement ne constitue pas un manquement avéré à la prescription légale, la responsabilité de l'assujetti à la loi supposant la démonstration d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

41. <\/strong><\/span>La notion de "diligence raisonnable", expression même de l'obligation de moyens : la CS3D, pointe avancée de l'Obligation de Compliance <\/strong><\/em>\ud83c\udfafLa directive du 13 juin 2024 sur le devoir de vigilance demande aux entreprises assujetties de faire preuve de "diligences raisonnables". Cela suppose qu'au-delà de la mise en place des structures mêmes de compliance, par exemple un plan ou un système d'alerte, et de certaines façons de faire expressément visées, comme la concertation ou la formation, elles doivent agir pour viser à obtenir les effets attendus par le législateur.  Ce dispositif qui consiste à attendre des entreprises des actions qui engendrent des effets orientés vers les buts visés par le législateur lui-même, qui est la ratio legis <\/em>du devoir de vigilance et en fait la "pointe avancée" du Droit de la compliance150<\/a><\/sup>sur le fait que le devoir de vigilance est la "pointe avancée" du Droit de la Compliance, v. mafr....<\/span>, peut donc être généralisé à toutes les obligations de compliance qui ne relèvent pas des 3 catégories d'obligations de résultat précédemment décrites151<\/a><\/sup>Les obligations de résultat de plano <\/em>visant à mettre en place la structure de compliance (n°00), les obligations de résultat secondaire visant à organiser la construction ou le fonctionnement de cette structure (n°00), les obligations de résultat conditionnées qui ne se déclenchent que lorsqu'une situation particulière apparaît (n°00).<\/span>.<\/p>\n

 <\/p>\n

42. <\/strong><\/span>L'exemple de l'obligation de formation <\/strong><\/em>\ud83c\udfafLa formation est une obligation essentielle engendrée par le Droit de la Compliance152<\/a><\/sup>mafr, La formation, contenant et contenu...., in ....<\/span>. Dans sa part de structure, c'est-à-dire son organisation matérielle, la présence d'enseignants, la tenue des cours, le nombre d'heures, la sollicitation d'apprenants visés, l'existence de contrôles, etc., il s'agit d'une obligation de résultat. Mais quant à savoir si ceux-ci ont compris ce qui leur a inculqué, ce qui relève de l'efficacité, cela ne peut plus qu'être une obligation de moyens. Quant au bénéfice sur l'ensemble du système, pour accroître la probité générale ou la protection de l'écosystème sur lequel chacun doit veiller, cela relève plus encore de l'obligation de moyens. Cette articulation a des effets sur l'organisation probatoire car les moyens de preuve sont ici plus aisés pour satisfaire l'obligation de résultat que pour satisfaire l'obligation de moyens153<\/a><\/sup>pour plus de développement, mafr, l'entreprise, la preuve, ....<\/span>. Elle en a aussi sur la sanction d'une inexécution car la responsabilité de l'entreprise est engagée si elle n'a pas mis en place les formations mais elle ne l'est pas si les personnes présentes n'ont pas compris.<\/p>\n

 <\/p>\n

43. <\/strong><\/span>L'organisation libre des outils essentiels pour remplir son Obligation de Compliance: exemples de l'enquêtes interne <\/strong><\/em>\ud83c\udfafParce que les obligations ne résultat ne concernent que la mise en place des structures de compliance, les obligations secondaires de leur fonctionnaire et les conséquences mécaniques de l'apparition de certaines situations154<\/a><\/sup>Sur ces trois sortes d'obligations de résultat, v.supra <\/em>n°00 et s., n°00 et s. et n°00 et s.<\/span>, les entreprises choisissent la façon dont ces plans, programmes, audit, formations, évaluations, etc., doivent être organisés. Cette liberté est la corrélation de l'obligation de moyens qu'est la leur. Est exemplaire de cela la technique de l'enquête interne155<\/a><\/sup>Ainsi l'enquête interne n'est pas l'objet d'une obligation de compliance à proprement parler. C'est un moyen spontanément mis en place par les entreprises pour satisfaire son obligation de compliance, par exemple de lutte contre la corruption. Pour une description de son usage dans un groupe international, v. par ex. O. ..., in <\/em>mafr, Compliance et droit de la défense..., <\/em>2024.<\/span>.  Celle-ci est organisée librement par les entreprises et si celles-ci doivent être améliorées, comme les informations qui en résultent doivent être mieux protégées156<\/a><\/sup>Sur l'ensemble de ces questions qui sont avant tout des questions probatoires, impliquant directement les droits de la défense, v. <\/span>,<\/p>\n

 <\/p>\n

44. <\/strong><\/span>La référence majeure au droit commun de la responsabilité <\/strong><\/em>\ud83c\udfafAinsi, dès l'instant qu'on ne se trouve pas dans une obligation structurelle visée par la loi (établissement d'un plan, d'un système d'alerte, etc.), comme le dit expressément la loi du 23 mars 2017sur le devoir de vigilance et comme cela doit s'appliquer pour toutes les manifestations techniques de l'Obligations de Compliance, les conditions du droit commun de la responsabilité s'appliquent : une faute ou une négligence doit être relevée pour que la responsabilité soit engagée. Une fois la structure de compliance est mise en place, l'on ne peut demander qu'ici et maintenant le but soit atteint. L'on peut demander que des diligences raisonnables soient accomplies, cela et pas plus que cela. Comme la structure de compliance et son fonctionnement ne prennent sens qu'au regard des Buts Monumentaux pour la concrétisation desquels tous ces dispositifs systémiques ont été mis en place, il faut que ces diligences produisent des effets qui concrétisent au fur et à mesure du temps des effets qui donnent une crédibilité à une trajectoire qui relie en probabilité la structure mise en place et l'ambition exprimée<\/strong> (probité ancrée ; équilibre climatique assuré, égalité atteinte,  etc.).  Ce point sera développé par la suite157<\/a><\/sup>III. B. (mettre le titre) ; n°00 et s.<\/span>.<\/p>\n

Il résulte de ce système de compliance que l'obligation première des entreprises est donc de nature probatoire et tient dans le dessin qui se trace au jour le jour de cette trajectoire entre la structure mise en place et ces Buts Monumentaux. Si les entreprises maîtrisent les contours de cette obligatoire probatoire, elles maîtriseront mieux en conséquence la responsabilité Ex Ante qui leur incombe en évitant la responsabilité Ex Post démesurée que certains voudront voir fondre sur elles.<\/p>\n

5III.L'APPRÉCIATION DU COMPORTEMENT DES ENTREPRISES ASSUJETTIES DANS L'EXÉCUTION DE LEUR OBLIGATION DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

45. (annonce de plan)<\/strong><\/span>  <\/strong><\/em>\ud83c\udfaf L’étude des multiples obligations de compliance exposée ci-avant permet de faire ressortir des traits communs à celles-ci, permettant de cerner l’Obligation de Compliance. Il en résulte que celle-ci est en premier lieu une obligation probatoire mise à la charge des entreprises assujetties (A<\/strong>). Cela ne signifie pas qu’elle serait purement « formelle ». Cela signifie qu’elle impose à l’entreprise d’être en mesure de prouver qu’elle a mis en place les structures de Compliance exigées par la Loi et qu’elle a fait ses meilleurs efforts pour obtenir les comportements recherchés. Cela a des conséquences directes sur la responsabilité des entreprises assujetties (B<\/strong>).<\/span><\/p>\n

 <\/p>\n

46. <\/strong><\/span>Le plus important : les obligations de moyens et non les obligations de résultat   <\/strong><\/em>\ud83c\udfafLes multiples obligations de résultat qui sont imposées par les textes pour mettre en place les structures de compliance et les faires fonctionner n'ont de sens que pour obtenir des effets, et notamment des comportements, qui soient efficaces et efficients au regard des Buts Monumentaux de la Compliance : éradiquer le blanchiment, rééquilibrer le climat, instaurer l'égalité entre les êtres humains, etc. Ce chemin, cette trajectoire, entre les structures mises en place (plan, programme, alerte, évaluation, etc.) et ces ambitions, est jalonnés d'obligations qui ne peuvent être que des obligations de moyens mais ce sont ces obligations de moyens qui sont les plus importantes puisque ce sont elles qui portent les changement (la baisse de la criminalité systémique sous-jacente au blanchiment, la fin des harcèlements, le respect de la vérité et des êtres humains, la reconnaissance de ce que la nature nous apporte).  C'est donc ces obligations-la, obligations de moyens, qui sont les plus importantes. Les obligations de résultat n'existent que pour que les obligations de moyens puissent exister à leur tour.<\/p>\n

 <\/p>\n

A. L'OBLIGATION DE COMPLIANCE, AVANT TOUT UNE OBLIGATION PROBATOIRE À LA CHARGE DES ENTREPRISES ASSUJETTIES PAR LA LOI<\/span><\/strong><\/p>\n

47. <\/strong><\/span>L'obligation de compliance : essentiellement une obligation probatoire  <\/strong><\/em>\ud83c\udfafL'Obligation de Compliance est donc avant tout une obligation probatoire. Quelque soit sa place processuelle, l'entreprise doit montrer qu'elle a mis en place de plano <\/em>la structure de compliance que lui impose les lois et réglementation ainsi que les mécanismes qu'au sein de celle-ci ces mêmes sources prévoient. De la même façon, parce que l'entreprise est assujettie à l'Obligation de Compliance, qui s'illustre ensuite dans une multitude d'obligations techniques, de diverses natures (légales, contractuelles, éthiques, etc.) l'entreprise doit montrer qu'elle existent l'obligation de moyens qui lui fait aller de cette obligation de résultat de mise en place de la structure de compliance à l'accomplissement des buts monumentaux fixés par le législateur (au sens formel).<\/p>\n

Mais la difficulté en est grave car l'essentiel est bien la réalisation des Buts Monumentaux, c'est-à-dire le futur, ce qui constitue un objet probatoire à première vue inaccessible (1<\/strong><\/span>) ; c'est pourquoi l'objet de preuve ne peut être la concrétisation des Buts Monumentaux mais la crédibilité de leur atteindre (2<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Une obligation probatoire e difficile à satisfaire <\/strong><\/span><\/p>\n

 <\/p>\n

48. <\/strong><\/span>Une obligation probatoire délicate : comment prouver l'efficacité d'une structure ?   <\/strong><\/em>\ud83c\udfafCela est assez aisé pour l'entreprise lorsqu'il s'agit d'une obligation de résultat. Par exemple, elle produira le plan publié, la cartographie des risques établie, les évaluations menées. Mais cela est beaucoup plus difficile pour les obligations de moyens. Tout d'abord, l'entreprise doit prouver que par la structure mise en place elle a obtenu des effets, c'est-à-dire prouver l'efficacité des structures. L'exemple a été pris de la formation qui non seulement doit se tenir (résultat) mais encore doit apprendre aux personnes à avoir un comportement adéquat. C'est au sein même des entreprises que l'apprentissage probatoire doit se faire car c'est ensuite à travers ceux qui ont appris ceux qui ont mis en place la structure d'apprentissage que l'on juge.<\/p>\n

Cela est d'autant plus difficile qu'une partie ne pouvant se prévaloir de preuves qu'elle s'est fabriquée seule à son bénéfice158<\/a><\/sup>Sur cette difficulté probatoire pour l'entreprise de ne pouvoir se fabriquer des preuves alors que l'objet de preuve qui lui est imposé est l'efficacité de son propre comportement, v. Thibaud Goujon-Béthan (on va voir quel article mettre....).<\/span>, l'entreprise doit toujours procéduraliser l'établissement de ses preuves, recourant notamment à des tiers de confiance, ce qui contribue à la constitution d'un "marché" florissant de la compliance et à la multiplication de ces obligations.<\/p>\n

 <\/p>\n

49. <\/strong><\/span>Un objet probatoire inatteignable : comment prouver demain ? Les engagements comme solution procédurale alternative   <\/strong><\/em>\ud83c\udfafL'obligation probatoire paraît insupportable lorsqu'on prétend exiger de l'entreprise qu'elle ait l'obligation de prouver ici et maintenant que demain elle aura atteint les Buts Monumentaux pour la réalisation desquels on lui impose ce carrousel d'obligations de compliance. Car l'on ne peut pas connaître demain et l'on ne peut pas apporter une telle preuve. L'on ne peut qu'affirmer qu'on fera tout pour : cela existe qu'actuellement les "engagements" tendent à remplacer les preuves parce qu'un engagement peut porter sur le futur, ce que ne peut faire une preuve. <\/p>\n

Mais l'engagement comporte lui-même ses limites, notamment en ce qu'il est distinct du contrat159<\/a><\/sup>mafr, Engagement, ..., in L'obligation de compliance<\/span>. C'est pourquoi il n'est inséré comme remède qu'à travers un autre outil, soit un contrat en bonne et due forme160<\/a><\/sup>mafr (dir.), Compliance et contrat<\/em>, 2025.<\/span>, soit comme mode alternative des poursuites, la CJIP ou la CRPC étant un engagement de compliance qui remplace alors la preuve et prend directement prise sur le futur. <\/p>\n

 <\/p>\n

50. <\/strong><\/span>Le déplacement d'objet de preuve : prouver que l'entreprise fera effectivement demain ce que ses représentants disent aujourd'hui   <\/strong><\/em>\ud83c\udfafCela produit alors un déplacement d'objet de preuve : l'entreprise doit prouver qu'elle fera bien demain ce qu'elle dit qu'elle fera. Il y a de multiples moyens pour satisfaire une telle charge de preuve. L'on peut se suffire de l'éthique. Ou de la pression des marchés, si l'entreprise y est exposée, ou des investisseurs et prêteurs, si l'entreprise y est exposée, ou de l'opinion publique, si l'entreprise y est exposée et sensible. <\/p>\n

Si l'on ne s'en contente pas, il faudra que les engagements prennent une forme plus juridique, c'est-à-dire celle du contrat, l'arbitrage international pouvant ici prendre une place essentielle161<\/a><\/sup>E. Silva-Romero, article à venir, in L'obligation de compliance.<\/span>. L'insertion de tiers de confiance, de moniteurs notamment, va également dans ce sens. L'externalisation d'un budget ad hoc <\/em>est aussi un moyen de prouver que cela sera fait. Le croisement des deux, c'est-à-dire un budget par avance à un tiers peut relever d'une technique probante.<\/p>\n

Si les tiers qui sont donc présents en permanence dans le futur sont désignés par un juge, cela mettra en continuum l'obligation probatoire, reflet de l'Obligation de Compliance qui elle-même est en continuum  puisqu'elle a pour objet : cela est logique, puisque la première est au cœur de la seconde. Cela conforte l'obligation managériale pour les entreprises de constituer en continu le dossier probatoire de leurs diligences, les mises en cause judiciaire n'étant pas des à-coup mais une pointe dans cette culture probatoire usuelle à développer162<\/a><\/sup>dans ce sens, mafr, preuve..., in La juridictionnalisation....<\/span>.<\/p>\n

 <\/p>\n

2. La constitution d'une preuve d'une trajectoire crédible dans les effets produits par la structure de compliance au regard des buts poursuivis par le Législateur<\/strong><\/span><\/p>\n

51. <\/strong><\/span>La trajectoire, objet central de l'obligation probatoire    <\/strong><\/em>\ud83c\udfafComme l'a affirmé le Conseil d'\u00c9tat dans ses arrêts Grande-Synthe <\/em>et le Tribunal administratif de Paris dans son jugement …, l'assujetti doit montrer que la structure et les comportements passés et présents attestent d'une "trajectoire" qui permet de penser que, sauf événement contraire que nul ne peut évoquer sans preuve (par exemple la faillite de l'entreprise), le déroulement du temps futur amènera aux finalités visées au départ. La trajectoire, indissociable de la technique du plan, replace le juge dans une position Ex Ante ; <\/em>cela explique notamment pourquoi le juge des procédures collectives est par nature familier du Droit de la Compliance, puisqu'il manie les plans, les engagements et les trajectoires dans la perspective d'un objectif de redressement163<\/a><\/sup>V. dans ce sens J.-B. Barbieri, .., in L'obligation de compliance<\/span>. <\/p>\n

 <\/p>\n

52. <\/strong><\/span>La crédibilité de la trajectoire, objet d'un faisceau d'indices    <\/strong><\/em>\ud83c\udfafC'est à l'entreprise de montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets qui, par le développements du temps et parce que l'entreprise ne changera pas sa stratégie, permet d'atteindre les objectifs. Cette crédibilité doit être produite par tous les éléments probants que l'entreprise doit ou peut constituer (elle peut en effet être empêcher de les constituer, notamment parce que des informations sont interdites à l'accès ou à la production). A cela s'ajoute le pouvoir d'instruction des juges, qui peuvent nommer des experts ou recourir à des amici curiae.<\/em><\/p>\n

 <\/p>\n

53. <\/strong><\/span>Le "raisonnable", pendant du "crédible"    <\/strong><\/em>\ud83c\udfafL'appréciation qui est faite de cette crédibilité par les parties prenantes et in fine <\/em>par le juge doit être raisonnable. Par exemple il est raisonnable de penser que l'entreprise ne changera pas sa stratégie. La notion de "raisonnable" 164<\/a><\/sup>Perelman, Le raisonnable .... <\/em>Sur la notion de "raisonnable" et de "déraisonnable", voir à la suite de travaux de Perelman les travaux du centre de logique de Bruxelles....

\r\n\r\nV. aussi sous l'angle plus particulièrement probatoire, du même centre, La preuve....<\/em><\/span> <\/strong>est centrale dans la conception que Perelman a de l'office du juge qui statue selon des standards et éprouve les affirmations d'une façon raisonnable en présence de divers cercles d'auditoires, ce qui correspond ici aux différents cercles de parties prenantes auxquelles l'entreprise rend des comptes165<\/a><\/sup>mafr, L'obligation processuelle, prototype de l'obligation de compliance, in L'obligation de compliance.<\/span>.. <\/p>\n

 <\/p>\n

54. <\/strong><\/span>Renversement possible de la preuve, si la preuve est apportée du caractère non-crédible de la trajectoire    <\/strong><\/em>\ud83c\udfafUne fois cela établi, et établi en continu, l'entreprise donnant à savoir sa structure de compliance et la trajectoire concrétisée par les effets produits par celle-ci, notamment dans les comportements engendrés, doit montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets, elle a satisfait sa charge de preuve.<\/p>\n

C'est alors aux personnes qui n'en sont pas satisfait d'alléguer que l'Obligation de Compliance n'a pas été exécutée. Par exemple qu'un plan n'a pas été adopté. Ou qu'une trajectoire n'est pas crédible. La charge de prouver cela repose que la personne qui formule une telle allégation. Si des faits alimentent une telle allégation, alors la responsabilité de l'entreprise pourra être engagée.<\/p>\n

 <\/p>\n

 <\/p>\n

B. LA RESPONSABILITÉ DES ENTREPRISES ENGENDRÉE PAR L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

55. <\/strong><\/span>Une responsabilité ex ante, comme charge d'une ambition politique pour le futur  <\/strong><\/em>\ud83c\udfaf Les entreprises sont aujourd'hui, de force ou de gré en charge des grandes missions sociétales face à un avenir incertain. C'est à ce titre qu'on a pu comparaître l'Obligation de Compliance et la puissance qui en résulte166<\/a><\/sup>mafr, Concevoir le pouvoir, 2021 ; L'usage de la puissance privée pour mieux servir.., 2024.<\/span> à une délégation de la puissance publique167<\/a><\/sup>A. Rouyère, Compliance, délégation de puissance publique, 2024.<\/span>. La responsabilité est alors synonyme de pouvoir légitime\ud83d\udcce<\/span> 168<\/a><\/sup>Notamment illustrée par la Compliance environnementale, mafr, La Compliance environnementale...; la responsabilité liée à la compliance environnementale....<\/span> attachée à une situation particulière impliquant une action, et en rien à une sanction, qui interviendra au regard du passé, alors qu'il s'agissait de prendre en charge une façon d'agir pour faire en sorte que l'avenir, qui est l'objet du Droit de la Compliance, soit selon une volonté précédemment exprimée169<\/a><\/sup>sur cette idée même de responsabilité ex ante, mafr, La responsabilité ex ante, pilier du Droit de la Compliance, 2022 ; sur la place des volontés dans l'élaboration de l'Obligation de Compliance, mafr, Le calcul, le coeur, ... ; Volonté sur volonté vaut ..., in L'obligation de compliance <\/em>, 2024.<\/span>. Mais lorsqu'une personne demande l'engagement de la responsabilité d'une entreprise devant un juge170<\/a><\/sup>Sur l'aptitude à demander l'engagement d'une telle responsabilité, v. mafr, Obligation processuelle.....<\/span>, il faut qu'elle apporte la preuve d'une violation d'une obligation de compliance.<\/p>\n

 <\/p>\n

1. La responsabilité civile engagée en cas de l'absence de structures mises en place ou de structures inaptes à engendrer tout effet crédible au regard des buts monumentaux visés par la loi<\/strong><\/span><\/p>\n

56. <\/strong><\/span>Avant tout comportement, une responsabilité retenue  ex ante en l'absence de structure de compliance crédible  <\/strong><\/em>\ud83c\udfaf S'il apparaît que l'entreprise n'a pas mis en place l'un des éléments structurels de l'obligation de compliance, qui sont pourtant autant pour elle autant d'obligations de résultat auxquelles les textes l'assujettissent, sa responsabilité sera engagée. Cela sera d'autant plus aisée que les textes prévoient souvent précisément les modalités, notamment les délais (par exemple concernant le plan de vigilance), la crédibilité et le caractère raisonnable des diligences dans cette mise en place étant appréciés selon les standards usuels.<\/p>\n

 <\/p>\n

2. <\/strong>La démonstration nécessaire d'une faute ou la négligence pour engager la responsabilité de l'assujetti à une obligation qui demeure par principe une obligation de moyens<\/strong><\/em><\/span><\/p>\n

57. <\/strong><\/span>La nécessité d'un fait générateur <\/strong><\/em>\ud83c\udfaf Si la structure de compliance a été mise en place, et les obligations de résultat qui l'entourent accomplies171<\/a><\/sup>V. supra <\/em>n°00 et s.<\/span>, et qu'une trajectoire crédible se déploie au regard des Buts Monumentaux de la Compliance (la crédibilité étant une forme de preuve172<\/a><\/sup>V.supra <\/em>n°00  et s.<\/span>) alors la responsabilité de l'entreprise ne peut pas être engagée faute de fait générateur. Pour qu'elle ne soit, il faut que celui qui l'allègue apporte la preuve d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

58. <\/strong><\/span>L'absence de responsabilité spéciale <\/strong><\/em>\ud83c\udfaf En cela, et comme le rappelle expressément la loi de 2017 sur le devoir de vigilance, ce à quoi la Directive du 13 juin 2024 ne déroge pas, la responsabilité qui peut frapper l'assujetti relève du droit commun de la responsabilité. Il ne suffit pas qu'existe une obligation spéciale de compliance, qui consiste donc pour certaines personnes juridiques173<\/a><\/sup>par exemple les entreprises bancaires, financières, énergétiques, numériques, etc. Voir à ce propos (mettre les contributions sur les opérateurs sectoriels), in L'obligation de compliance.<\/em><\/span>, que cela engendre pour autant une responsabilité spéciale. Une responsabilité spéciale se caractérise par un régime spéciale. S'il fallait qu'à chaque obligation spéciale (il y a des centaines) soit attachée une responsabilité spéciale, le droit commun de la responsabilité n'existerait plus174<\/a><\/sup>Sur la défense de l'idée même d'un "principe général", v; G. Viney (in Mélanges Catala)<\/span>.<\/p>\n

 <\/p>\n

59. <\/strong><\/span>Conclusion<\/strong>. L'Obligation de Compliance, obligation unifiée et spéciale <\/strong><\/em>\ud83c\udfaf Il apparait ainsi que certains sujets sont, de par leur position, c'est-à-dire leur puissance, leurs informations, leurs technologies, leur implantation, soumis à une Obligation de Compliance qui consiste toujours à construire une structure de compliance produisant des effets crédibles au regard des buts monumentaux visés par le Législateur.<\/p>\n

________<\/p>\n

1. <\/strong><\/span>Besoin de clarté et simplicité de l'Obligation de Compliance<\/strong><\/span><\/em> \ud83c\udfaf Des entreprises sont assujetties à une Obligation de Compliance. L'on peut se demander pourquoi celles-ci (les grandes) et non pas une autre catégorie, voire pourquoi pas toutes les entreprises, voire pourquoi pas tout le monde. L'on peut se demander pourquoi les entreprises qui ne sont pas sujets du système juridique dans lequel l'obligation a été émise y sont pourtant astreintes. L'on peut se demander pourquoi on les oblige à faire ceci ou à faire cela, et pas on ne les oblige pas à d'autres choses, puisqu'il est d'une façon générale important que les règles soient effectives. Parce qu'on ne comprend pas les contours de cette Obligation de compliance, l'observateur soupçonne l'arbitraire, la prise de pouvoir, une sorte de guerre, d'affrontement qui parait d'autant plus sans "foi ni loi". Cela serait d'autant plus inadmissible d'y être "obligé" que cette contrainte confuse prend forme juridique. De tout cela, on discute, souvent avec véhémence, dans un sens ou dans un autre,  le spectre des positions étant très large : certains  affirment qu'il devrait y avoir une Obligation de Compliance plus impérieuse, avec des sanctions colossales et des obligations de faire sur les Etats eux-mêmes, d'autres soutenant qu'il ne faudrait aucune obligation, seule l'éthique pouvant être admise.<\/p>\n

Il apparait que toutes ces discussions n'ont le pied sûr  que si l'Obligation de Compliance est définie.<\/p>\n

De l'examen de tout le droit positif qui s'applique à tant d'obligations éparpillées qui sont reconnues comme étant des "obligations de compliance", nommées expressément ainsi, et dont la nomenclature sera dressée plus loin3<\/a><\/sup>d'une façon analytique, I. ... ; d'une façon synthétique, II .....<\/span>,<\/strong> il se dégage ceci : l'Obligation de Compliance confie aux assujettis la construction de structures de compliance produisant des effets crédibles au regard des buts monumentaux visés par le législateur.<\/strong><\/p>\n

La présente étude a pour objet d'asseoir cette définition en la tirant directement du droit positif.<\/p>\n

En effet, cette définition rend compte de l'ensemble du droit positif. Elle permet à la fois de désigner dans une même unité tous les divers mécanismes qui sont identifiés techniquement comme relevant du Droit de la Compliance et d'exclure des obligations qui n'en relèvent pas4<\/a><\/sup>et qui relèvent simplement du fait d'obéir à la loi, d'exécuter ses engagements contractuels. Car sinon tout devient obligation de compliance, le Droit de la Compliance n'étant alors lui-même que le Droit lui-même en ce qu'il se caractérise par le fait qu'il contraint. Sur ce point de base, mafr, Le Droit de la Compliance, 2016.<\/span>.<\/p>\n

Par la suite, d'une façon secondaire donc, des disputes peuvent clairement se construire, pour contester ou approuver l'existence d'une telle Obligation, pour proposer  d'en infléchir la force ou d'en accroître la contrainte, pour proposer d'en multiplier les modalités, pour proposer d'en laisser plus ou moins la disposition aux acteurs, pour proposer d'en désigner de nouveaux sujets ou d'en soustraire des assujettis, pour proposer d'en modifier la portée, pour proposer d'en hiérarchiser ou articuler les sources, pour proposer de restreindre le nombre de celles-ci, etc.<\/p>\n

Pour proposer tout cela et ne pas s'y perdre, il faut partir d'une définition simple et nette. Or le droit positif nous la donne. La définition qui ressort du droit positif en est toujours la même : le législateur (au sens formel) requiert d'un sujet de droit qu'il mette en place ou contribue au fonctionnement d'une structure pour produire des effets, notamment des comportements, qui vont converger vers la réalisation des Buts Monumentaux que ce législateur a l'ambition d'atteindre dans des systèmes cruciaux pour le futur. <\/strong><\/p>\n

Mais, alors même que l'examen de l'ensemble du droit positif la fournit, cette définition de l'Obligation de Compliance n'est pas clairement exprimée, ni par les textes, toujours ponctuels, ni par les auteurs, souvent attachés à une obligation particulière dont ils tireront une définition générale, face à laquelle des obligations particulières différentes apporteront une dissonance, voire une contradiction, discréditant la définition générale proposée.<\/p>\n

Ainsi, partant d'un exemple particulier à une généralité affirmée, chacun ayant la sienne et ne se prévalant que d'une obligation particulière de compliance, suivant que l'on lit les uns ou les autres, il s'agirait pour les entreprises d'être obligées de donner à voir qu'elles respectent activement toutes les réglementations applicables ou bien, à l'autre bout du spectre, il s'agirait pour elles d'exercer un immense pouvoir, celui de se fixer d'une façon autonome des règles, dont elles fixeraient la teneur, la portée et les assujettis, à savoir elles-mêmes mais aussi les autres.  Ou il s'agirait de les soumettre à une obligation adossée à la force du droit pénal, ou il s'agirait de concrétiser le désir de bien faire dans un élan éthique dont elles ne répondraient qu'à l'égard de la conscience des personnes et de l'effet de réputation.<\/p>\n

Faute de pouvoir s'entendre, l'on finit par dire qu'il y aurait autant de définitions que de cas, qu'il faudrait être "pragmatique", que tout cela est très "complexe" et que sans définition unifiée, l'on verra bien ce que le prochain juge, français, européen, américain ou autre, dira suivant le cas et son humeur. La crainte du juge en est accrue.<\/p>\n

L'espoir se tourne alors vers les algorithmes car en fournissant à la puissance algorithmiques tous les cas déjà passés et tous les jugements déjà émis par les uns et les autres, l'on pourrait par probabilité ainsi connaître la décision future. Faute de comprendre et de maîtriser l'Obligation de Compliance. Les algorithmes apparaissent alors comme seul espoir de la Compliance…, dont on aurait désespéré de comprendre quoi que ce soit.<\/p>\n

L'objet de cette étude, et de cet ouvrage, est inverse.<\/p>\n

Le Droit devant rester affaire humaine et les situations présentes et prochaines ne devant pas être produites ni seulement par les solutions passées, peut-être inadéquates, ni seulement par des projections vers le futur par le calcul probabiliste, il s'agit de clarifier et d'unifier L'Obligation de Compliance.<\/em><\/p>\n

Cela est possible. <\/p>\n

L'état actuel de confusion tient à des obstacles qui doivent tout d'abord être identifiés en prolégomènes, identification nécessaire pour dépasser ces obstacles.<\/p>\n

 <\/p>\n

 <\/p>\n

PROLÉGOMÈNES : LES OBSTACLES À UNE DÉFINITION CLAIRE ET UNIFIÉE DE L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

2. <\/strong><\/span>Première raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'état naissant du Droit de la Compliance<\/strong><\/span><\/em> \ud83c\udfaf Pour cerner, concrétiser et faire respecter l'Obligation de Compliance pesant sur les entreprises, pour maintenir l'ambition de pouvoir s'appuyer sur l'unicité de cette Obligation de Compliance afin de pouvoir  aisément en déduire son régime, il faudrait disposer d'une notion déjà solidement construite par le Droit. Mais concernant l'Obligation de Compliance, l'on ne bénéficie pas d'un tel luxe : parce que le Droit de la Compliance est encore lui-même une branche du Droit en émergence, sur la définition de laquelle les disputes se poursuivent, donnant lieu à un contentieux d'un type nouveau lui-même émergeant5<\/a><\/sup>mafr, Le contentieux systémique émergeant, 2024.<\/span>,  l'on pourrait donc qu'hésiter sur  ce qu'est l'obligation de compliance qui en découle. <\/p>\n

Or, en pratique, cela est dramatique parce que les conséquences de l'inexécution de l'Obligation de Compliance sont sévères, les entreprises assujetties protestant souvent contre le fait qu'elles ne savent pas les contours de ce à quoi elles sont obligées. Cette incertitude quant à savoir ce qu'est l'Obligation de Compliance, constatée par tous6<\/a><\/sup>Cambridge, Cambridge handbook, (citation à compléter)<\/span>, est pourtant inévitable. Elle n'est pas même un défaut, lequel serait une preuve d'une sorte de malformation : ce temps d'incertitude constitue un moment de la naissance d'une branche du Droit7<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Births of a branch of Law: Compliance Law<\/a>,<\/em> 2023.<\/span> : parce que le Droit de la Compliance est en train d'émerger, l'Obligation qu'il engendre pour les acteurs est encore incertaine. Mais plus la construction de la branche du Droit va se consolider et plus ces incertitudes vont s'estomper. Il faut un peu de patience pour que Rome se construise8<\/a><\/sup>Sur l'idée que l'écoulement du temps, notamment nécessaire à la construction de la jurisprudence, est nécessaire, est en lui-même un facteur de progrès, v. mafr, "Le devoir de vigilance : progresser", 2024.<\/span>.<\/p>\n

 <\/p>\n

3. <\/strong><\/span>Deuxième  raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des branches elles-mêmes très différentes <\/strong><\/span><\/em> \ud83c\udfaf C'est par le critère de l'assujettissement que l'on a tendance à identifier une obligation de compliance : plus la force de la contrainte est élevée et plus l'on repère un mécanisme de "compliance". C'est donc à l'impérieux Droit pénal qu'il est encore usuel de rattacher la Compliance9<\/a><\/sup>même si c'est pour s'émouvoir que ce Droit pénal qui ordonne et oblige se mâtine, voire se dénature, lorsqu'il incorpore des outils de compliance qui relèvent davantage de l'accord. Sur cette question, v.G. Boissonnie, ..., in Les buts monumentaux.... ; <\/em>La CJIP est ainsi l'objet de nombreuses interrogations,  . par ex., S. -P. Cabon, ..., in Compliance et droits de la défense, <\/em><\/span>. Mais il est aujourd'hui acquis que les obligations s'ancrent dans toutes les branches du Droit. Cela rend difficile la perspective de son unicité, dès l'instant qu'elle n'est pas enfermée dans une branche du Droit, pouvant en pratique relevant d'une juridiction précise (le juge pénal, les structures administratives répressives) et un savoir universitaire aux contours établis (notamment le droit pénal et le droit administratif, la compliance étant présentée comme une  sorte de complément qui les moderniserait).<\/p>\n

En outre, à l'intérieure de toutes les branches du droit, ce sont de multiples obligations de compliance qui sont repérables et qu'il est difficile de classer10<\/a><\/sup>C'est l'objet même de la première partie de cette étude que de les classer, afin de les maîtriser. v. n°00 et s.<\/span>. Pour prendre l'exemple d'une chaine économique d'activités, le Droit international, le Droit des contrats, le Droit des sociétés, le Droit de la concurrence et le Droit de la distribution, le Droit du travail, ont des points de contact avec les obligations de compliance qui sont engendrées, notamment par la façon dont l'entreprise donneuse d'ordre doit avoir soin de la façon dont  les personnes qui s'activent , salariés, collaborateurs, collaborateurs, fournisseurs,  etc., sont traitées tout à long de la chaîne. Cette Obligation innerve la "chaîne de valeur" (notion managériale)11<\/a><\/sup>Sur l'articulation entre les notions managériales et les notions juridiques, v. J.-Ph. Denis et N. ..., ..., et E. Maclouf, ..., in ....L'obligation de compliance, <\/em><\/span> mais les branches du Droit segmentent l'unicité à laquelle le souci de la personne exprimé par le législateur renvoie. Cela peut être certes dépassé puisque le Droit étant lui-même un système fonctionne en articulant les diverses branches12<\/a><\/sup>Sur l'articulation que l'Obligation de Compliance requiert avec les diverses branches du Droit, v. (citer les contributions de la partie de l'ouvrage à ce propos)<\/span>, mais cela constitue néanmoins un obstacle pour parvenir à une définition unique de l'Obligation de Compliance surplombant les branches du Droit13<\/a><\/sup>Comme le contrat, la propriété ou la famille y sont parvenus, ce pourquoi Carbonnier les désigna oomme les "piliers" du Droit.<\/span>.<\/p>\n

 <\/p>\n

4. <\/strong><\/span>Troisième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des secteurs très divers <\/strong><\/span><\/em>\ud83c\udfaf En outre, l'Obligation de Compliance s'adressant naturellement aux opérateurs cruciaux des secteurs régulés concerne de multiples secteurs, allant du secteur bancaire et financière où elle a pris son origine en réaction à la crise de 192914<\/a><\/sup>mafr, Compliance : hier, aujourd'hui, demain....<\/span>,  au secteur énergétique particulièrement impliqué dans le système climatique, à l'espace numérique, à l'espace spatial, etc. Or, la spécificité de chacun se traduit par des obligations qui lui sont propres et sont rappelés par chaque régulateur, par chaque spécialiste de chaque espace, de chaque organisation professionnelle. C"est sans doute l'émergence d'un "Contentieux Systémique" devant le juge de droit commun15<\/a><\/sup>mafr, Le contentieux systémique, 2024.<\/span>, qui va rapprocher tous ces secteurs en ramenant ce qui leur est commun, par exemple le souci systémique de durabilité à laquelle les entreprises ont l'obligation de moyens de contribuer16<\/a><\/sup>V. les articles précurseurs de François Ancel : ..., in La juridictionnalisation de la compliance,<\/em>2023 ; ...,<\/em>in De la régulation à la compliance: quel rôle pour le juge ?<\/em> 2024.<\/span>.<\/p>\n

 <\/p>\n

5. <\/strong><\/span>Quatrième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des réglementations qui s'éloignent les unes des autres <\/strong><\/span><\/em>\ud83c\udfaf Liée aux 3 phénomènes précédents, sont apparus des spécialistes, des articles, des ouvrages et des manifestations, liés à une seule réglementation, détaillant celle-ci et n'évoquant pas les autres. Cela est logique en ce que chaque réglementation, terme qui embrasse toute une variété de textes de différentes portée, contient à elle-seule de nombreuses obligations de compliance, déjà difficiles à mémoriser, à comprendre et à articuler entre elles. La finesse des descriptions et des analyses des solutions, souvent menées dans l'ignorance des analyses des solutions retenues pour les obligations, pourtant analogues, contenues dans d'autres réglementations, rend ainsi paradoxalement de plus en plus difficile à maîtriser un ensemble de réglementations qui deviennent de plus en plus autonomes les unes des autres. Ainsi plus on devient savant et plus on devient ignorant, paradoxe de la spécialisation.<\/p>\n

L'expertise croissante développée à propos de chaque réglementation rend donc de plus en plus difficile l'émission d'une Obligation de Compliance. L'érudition sur les obligations de compliance, grandement facilitée par les recherches par algorithmes, est une force centrifuge qui rend l'Obligation de Compliance de plus en plus difficile à maîtriser. Sauf à tout abandonner aux algorithmes.<\/p>\n

 <\/p>\n

6. <\/strong><\/span>Cinquième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'absence de distinction première entre les obligations qui sont sanctionnées par le seul fait que l'assujetti n'a pas atteint le résultat et les obligations qui ne contraignent qu'à un effort accompli au regard d'un but fixé  <\/strong><\/span><\/em>\ud83c\udfaf Mais la cinquième raison constitue le plus grand obstacle.  En effet, lorsqu'on passe d'une obligation de compliance à une autre, on a l'impression qu'elles n'ont rien en commun. Parfois, certaines expriment une exigence telle que le seul fait pour l'assujetti de n'avoir pas obtenu le résultat demandé entraine sa condamnation. Parfois, d'autres obligations se contentent de requérir de l'assujetti de faire au mieux. Comment dès lors trouver une unicité dans cela ? Comment trouver un terrain d'entente entre ceux qui, voulant soumettre les entreprises auxquelles  confiance n'est pas donnée, se prévalent toujours des exemples du premier type d'obligations, et ceux qui, rappelant que les entreprises ne peuvent pas tout, s'appuient sur les textes qui n'obligent celles-ci qu'à des diligences ? <\/p>\n

L'on finit par se dire que le droit positif est bien mal fait… et que demain il aura, par la sagesse du temps, résolu tout seul tous ces obstacles17<\/a><\/sup>Sur l'idée comme quoi il y aurait une "immaturité" (et qu'il faut donc attendre), v. Ch. Maubernard, .Le devoir de vigilance..., <\/em>2024.<\/span>. Mais précisément c'est ici et maintenant que nous avons besoin d'une définition claire et unifiée de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

7. <\/strong><\/span>Nécessité pratique de surmonter ici et maintenant ces obstacles pour définir l'Obligation de Compliance <\/em><\/strong><\/span>\ud83c\udfaf En pratique, l'on ne peut pourtant se contenter d'attendre ces lendemains meilleurs où l'on se sera accordé sur les définitions de base. Justement parce que la Compliance oblige, et considérablement, les entreprise. Or, être obligé mais ne pas savoir exactement à quoi, n'est-ce pas dramatique ? <\/p>\n

Parce qu'on ne peut donc en pratique attendre que la branche du Droit ait trouvé sa maturité, même si l'on doit tout faire pour aider à cela en produire en pratique la sécurité requise18<\/a><\/sup>Voir par exemple à propos de la Vigilance, pointe avancée de la Compliance, mafr, "Vigilance : progresser", 2024.<\/span>, il faut s'efforcer de passer ces obstacles qui peuvent certes être le résultat de stratégies dolosives des divers acteurs concernés (les États, les entreprises, les parties prenantes, etc.) mais qui tiennent le plus souvent à la nature des choses (temps, structures économiques et juridiques), Il faut plutôt faire confiance au droit positif, déjà si fourni qu'on le présente sous l'expression péjorative de "masse réglementaire" mais qui recèle des lignes de force, pour dégager l'esprit qui l'anime. Car un Droit sans âme, cela n'existe pas tant que ce sont des êtres humains qui l'écriront19<\/a><\/sup>J.-L. Halperin, Une histoire des droits dans le monde <\/em>, 2024, notamment l'introduction qui développe <\/span>.<\/p>\n

 <\/p>\n

8. <\/strong><\/span>Partir des régimes déjà développés pour dégager l'unicité et la simplicité de l'Obligation de Compliance, obligation d'un nouveau type<\/em>. Plan.<\/strong><\/span> \ud83c\udfaf Pour cela il est ici proposé de partir des régimes que l'on peut observer en droit positif, en se penchant plus particulièrement  sur le couple familier du Droit des obligations : "obligation de moyens \/ obligation de résultat", appliqué ici à l'obligation légale et parfois à l'obligation contractuelle (I<\/strong><\/span>). Si l'on scrute les textes et les jurisprudences, il apparaît que les diverses obligations sont tantôt de moyens et tantôt de résultat, suivant qu'elles sont comportementales ou structurelles, ne pouvant qu'être de moyens dès l'instant qu'il s'agit pour l'assujetti de tendre vers la réalisation des buts monumentaux pour lesquels l'obligation a été édictée, l'obligation probatoire d'une trajectoire crédible étant l'obligation centrale (II<\/strong><\/span>). Ainsi éclairée, l'Obligation de Compliance trouve son unicité, sa force et sa simplicité, étant supportable par l'entreprise qui doit la concrétiser parce qu'elle est en position de tendre avec effectivité, efficacité et efficience vers les buts monumentaux en vue desquels cette Obligation d'un nouveau type est générée  (III<\/strong><\/span>).<\/p>\n

 <\/p>\n

I.  LE COUPLE "OBLIGATION DE MOYENS \/ OBLIGATION DE RÉSULTAT", VOIE POUR APPRÉHENDER PAR LE DROIT POSITIF L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

9. <\/strong><\/span>Partir du droit positif des obligations techniques de compliance, tantôt de moyens, tantôt de résultat<\/strong><\/span> \ud83c\udfaf Pour ne pas continuer à plonger dans les disputes de définition sans jamais en sortir, inversons la méthode en partant des oppositions constatées dans l'intensité des contraintes issues des textes. Étudions le régime juridiques lui-même, appliqué à de multiples obligations que tous s'accordent à qualifier d'obligations de compliance, si diverses et si nombreuses, et trouvons  à travers cela une voie permettant  d'induire l'unicité de l'Obligation de Compliance. <\/p>\n

En partant du droit positif20<\/a><\/sup>Using the same method, we will start from the diversity of sources to nevertheless find the unicity of the Compliance Obligation: <\/span>, on opère le constat suivant : parfois les entreprises assujetties sont sanctionnées du seul fait qu'elles n'ont pas atteint le résultat  que le texte a visé, ce qui renvoie donc à ce que l'on appelle souvent en droit des contrats <\/strong>une obligation de résultat ; en effet les entreprises sont sanctionnées uniquement si un fait générateur est constitué par une faute ou une négligence et que la survenance de ce fait générateur est prouvée par celui qui demande la condamnation de l'entreprise, ce qui atteste d'une obligation de moyens. L'enjeu est avant tout probatoire21<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Judge, the Compliance Obligation and the Company. The Compliance Evidence System<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Jurisdictionalisation<\/a>, <\/em>2024.<\/span> . Cette dimension probatoire, qui fait que l'entreprise sera condamnée ou non montre que la qualification de résultat ou de moyen est essentielle : si l'obligation est de moyens, la faute ou la négligence est un objet de preuve dont la démonstration doit être apportée par celui qui se plaint, tandis que si l'obligation est de résultat, il suffit pour celui qui se plaint de montrer que le résultat n'est pas atteint pour que celui auquel le reproche est fait soit condamné. Tout est là22<\/a><\/sup>Il en résultera que l'Obligation de Compliance est avant l'obligation probatoire. Sur cela, v. infra <\/em>n°00 et s.<\/span>.<\/p>\n

 <\/p>\n

10. <\/strong><\/span>Les vertus du classement<\/strong><\/span> \ud83c\udfaf Bien qu'il paraisse hasardeux de transposer à des obligations légales l'expression et le régime des obligations contractuelles23<\/a><\/sup>It may, however, be dangerous to apply to a legal obligation a distinction which is usual only in Contract Law. On the one hand, a person obeys the law without his consent being required (the social contract is sufficient to give rise to the principle of obedience); on the other hand, his subjection to the law undoubtedly benefits all the other subjects of law, who may rely on a breach but do not, for all that, become ‘creditors’ of the legal obligation in relation to the subject: they must demonstrate a triggering event constituted by a fault or negligence. The fact that some authors systematically describe firms as ‘debtors’ of the Compliance Obligation, leading to confusion between a legal obligation and a contractual obligation, then allows them to argue that third parties could benefit from compensation without having to prove damage, a triggering event and a causal link, since they would be like creditors. See on this point, \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Compliance Obligation, between Will and Consent: obligation on obligation works<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche (ed.), <\/em>\ud83d\udcd8<\/span>Compliance Obligation<\/em><\/a>, 2024.<\/span>, partons donc de ce constat d'une pluralité d'obligations techniques, qui sont pour certaines des obligations de de moyens et pour d'autres des obligations de résultat (A<\/strong><\/span>). Cette pluralité ne constitue pas un obstacle définitif à la constitution d'une définition unique de ce qu'est l'Obligation de Compliance. Cela permet au contraire de l'éclaircir, de tracer les allées dans ce qui est si souvent qualifié de fatras juridique, de "masse réglementaire" immaitrisable24<\/a><\/sup>A quoi s'ajoute la grande diversité des sources. Mais cela aussi est maîtrisable. mafr, La volonté, le coeur, le calcul. Cerner l'Obligation de compliance<\/span>. Un tel répertoire permet aussi de classer dans trois catégories qui s'articulent la multitude des obligations de résultat qui sont engendrées par l'Obligation de Compliance et de mesurer qu'il faut exclure de poser celle-ci comme étant elle-même globalement une obligation de résultat (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA DISTRIBUTION DES OBLIGATIONS TECHNIQUES DE COMPLIANCE EN OBLIGATIONS DE RÉSULTAT ET EN OBLIGATIONS DE MOYENS<\/strong><\/span><\/p>\n

 <\/p>\n

11. <\/strong><\/span>Préserver et améliorer les comportements en continu en perspective des buts visés par les textes = obligation de moyens ; mettre en place en amont les <\/em>structures visés par les textes<\/em> = <\/strong>obligation de résultat <\/strong><\/em>\ud83c\udfaf En effet, cette différence essentielle entre la masse des obligations de compliance qui sont des obligations de résultat et la masse des obligations de compliance qui sont des obligations de moyens, qui imprègne tout le système probatoire du Droit de la Compliance, n'entame pourtant pas cette unicité de l'Obligation de Compliance qui permet la définition de celle-ci.<\/p>\n

En tant que l'entreprise obligée au titre du Droit de la Compliance participe à la réalisation des Buts Monumentaux qui fondent normativement celui-ci25<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a> (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2023.<\/span>, obligation légale éventuellement relayée par le contrat26<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Compliance contract, compliance clauses<\/a>, 2022<\/span>, voire par l'éthique27<\/a><\/sup> v. <\/span>M.-A. Frison-Roche<\/a> , <\/span>\ud83d\udcdd<\/span>La volonté, le cœur et le calcul, les trois traits cernant l'Obligation de Compliance<\/a>,  <\/span>in<\/em> <\/span>M.-A. Frison-Roche<\/a> (dir.), <\/span>\ud83d\udcd5<\/span>Les Buts Monumentaux de la Compliance<\/em><\/a>, 2024.<\/span><\/span>, l'obligation ne peut être qu'une obligation de moyens, en raison même de cette nature téléologique et de l'ampleur des buts visés, par exemple l'heureux dénouement de la crise climatique ou l'égalité effective  souhaitée entre les êtres humains. Le résultat visé est à la fois si ambitieux et si lointain que retenir autre chose qu'une obligation de moyens alors que le résultat envisagé est de cette ampleur et à cette distance revient à condamner d'avance toutes les entreprises, ce qui n'est pas admissible. Il est pourtant et néanmoins porteur de multiples obligations de résultat, dont le rôle est essentiel et qu'il faut dégager.<\/p>\n

 <\/p>\n

12. <\/strong><\/span>Articuler les obligations de résultat et de moyens avec les exigences d'effectivité, d'efficacité et d'efficience<\/strong><\/span> \ud83c\udfaf En effet, ce principe acquis laisse place au fait que ces comportements demandés et les effets évalués sont jalonnés par des process <\/em>mis en place par des outils structurels, le plus souvent légalement décrits, par exemple l'établissement d'un plan de vigilance ou des formations régulièrement organisées, ce qui relève du critère de l'effectivité <\/em><\/strong>de la Compliance : il s'agit alors d'obligations de résultat. À ce titre, il faut adopter un plan, un programme, il faut organiser des formations, il faut mettre en place un système d'alerte, etc. Si ce résultat n'est pas atteint, l'obligation n'est pas remplie. Tandis que les effets heureux produits par ces outils structurels (que sont ces plans, programmes, cartographie, evaluation, formations, etc.), effets heureux qui renvoient non pas à l'effectivité mais à l'efficacité<\/strong><\/em>  il s'agit d' obligations de moyens.  Par exemple, l'on peut contrôler la présence des apprenants dans la formation donnée, mais l'on ne peut qu'exiger l'effort de transmission d'une compétence, c'est-à-dire l'efficacité de cette formation. C'est encore plus le cas lorsqu'il s'agit d'obtenir la transformation de l'ensemble du système, c'est-à-dire une solidité acquise du système (bancaire, financier, climatique, etc.), une culture d'égalité (entre les êtres humains), un respect de chacun à l'égard de tous (préservation du pacte social) : il s'agit alors de préserver, voire de transformer les systèmes eux-mêmes, ce qui relève de l'efficience,<\/strong><\/em> ce pour quoi le bon sens conduit à exclure plus encore une obligation de résultat et à retenir une obligation de moyens. L'effet heureux sur l'ensemble du système est à la fois ce qui fonde toute la compliance mais ne peut engendre qu'une obligation de moyens.<\/p>\n

 <\/p>\n

13. <\/strong><\/span>L'enchâssement des obligations de moyens dans les obligations de résultat : la crédibilité des structures et process (obligations de résultat) à engendrer les comportements et effets attendus au regard des buts visés (obligations de moyens) : la crédibilité <\/strong><\/span> \ud83c\udfaf Les deux masses d'obligations de résultat et d'obligations de moyens ne sont pas pour autant étanches : il existe au contraire une communication.  En effet, c'est bien pour aboutir à cette transformation des systèmes (un numérique sûr, une durabilité des chaînes d'activités, une dégradation climatique enrayée, une souveraineté énergétique préservée, une culture de respect entre les êtres humains, etc.) qu'au départ les réglementations ont imposé aux entreprises par des obligations de résultats l'adoption des structures et des process : ont été ainsi construites les conditions "effectives" pour qu'apparaissent les comportements "efficaces" afin que les systèmes soient préservés dans la durée des risques et s'améliorent d'une façon "efficiente"28<\/a><\/sup>Sur le caractère central de la crédibilité, v. infra <\/em>n°00 ; v. aussi mafr, ... (conf. d'octobre 2024)<\/span>. <\/p>\n

 <\/p>\n

14. <\/strong><\/span>L'unicité de l'Obligation de Compliance par le continuum entre les structures et process (obligation de résultat), d'une part, les comportements et les cultures (obligations de moyens), continuum prenant son sens par les Buts Monumentaux de la Compliance<\/strong><\/span> \ud83c\udfafL'Obligation de Compliance apparaît ainsi unifiée parce que graduellement, et quelles que soient les diverses obligations de compliance dont il s'agit, leur intensité ou leur secteur, les préalables structurels de process29<\/a><\/sup>Ch. Lapp, in Les buts monumentaux de la compliance<\/span> de l'Obligation de Compliance sont des techniques de résultat auxquelles le Droit, à travers notamment le Juge30<\/a><\/sup>mafr (dir.), La juridictionnalisation de la compliance<\/em><\/span>, demandera qu'ils soient faits mais ne demandera pas plus, tandis que tendre vers la réalisation des Buts monumentaux précités sera une obligation de moyens, ce qui peut paraître plus léger, mais correspond à une ambition incommensurable, en ce qu'elle se situe à la hauteur de ces Buts31<\/a><\/sup>mafr, Les buts monumentaux, coeur battant du droit de la compliance....<\/span> : l'entreprise devra s'appuyer sur ses structures, par exemple une structure de formation, pour aller au-delà, par exemple que les personnes dont elle a la charge, comprennent ce qui leur a été enseigné, visant in fine <\/em>à une efficience des systèmes, par exemple que les personnes ainsi éduquées diffusent une culture de respect d'autrui, renvoyant en Europe à une ambition de civilisation des systèmes32<\/a><\/sup>mafr (dir.), L'europe de la compliance...<\/em><\/span>.<\/p>\n

 <\/p>\n

15. <\/strong><\/span>Ce que les entreprises, les autorités et les parties prenantes doivent prouver<\/strong><\/span>\ud83c\udfaf De cette articulation il résulte que les entreprises doivent montrer non pas tant ou seulement qu'elles ont bien suivi les process (résultat) mais que cela a produit des effets heureux et attendus33<\/a><\/sup>mafr, .... prolégomènes du système probatoire de la compliance, ...<\/span> qui convergent avec les buts recherchés par le Législateur34<\/a><\/sup>mafr, obligation sur obligation vaut<\/span>. Elles doivent aussi montrer que les structures mises en place étaient et sont en mesure de produire ces effets prévus et requis au regard des Buts Monumentaux : cette exigence de crédibilité ramène toujours à la dimension probatoire de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

B. L'INADÉQUATION D'UNE OBLIGATION DE COMPLIANCE PENSÉE COMME OBLIGATION GLOBALE DE RÉSULTAT<\/strong><\/span><\/p>\n

 <\/p>\n

16. <\/strong><\/span>Le risque de rendre l'Obligation de Compliance "insupportable" par son  unification comme obligation globale de résultat<\/strong><\/em> \ud83c\udfaf Méconnaître ces distinctions, cette gradation et cette articulation aurait des conséquences pratiques très graves. En effet, transformer l'Obligation de Compliance en son principe et toutes ses modalités en obligation de résultat alors que le Droit de la Compliance prend sa normativité dans les Buts Monumentaux visés, ce qui lui attache une très grande ambition35<\/a><\/sup>\ud83d\udd74<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Compliance Monumental Goals, beating heart of Compliance Law<\/a>, in<\/em> M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2022.<\/span>, à savoir la sauvegarde des systèmes à l'avenir36<\/a><\/sup>Donnant corrélativement une grande unité au "Contentieux systémique" qui en résulte. Pour la démonstration de cela, mafr, Le contentieux systémique, 2024.<\/span>, n'aurait pas de sens car aucune entité n'a la puissance d'atteindre ici et maintenant un tel but. L'on ne doit demander à l'entreprise qui a mis en place les structures requises (plans, formations, évaluations, etc.) que des diligences raisonnables.<\/p>\n

 <\/p>\n

17. <\/strong><\/span>L'illustration par la Vigilance d'une articulation entre des structures imposées par une obligation de résultat (le plan) et des efforts demandés par une obligation de moyens (diligences) <\/em><\/strong><\/span>\ud83c\udfaf C'est d'ailleurs expressément ce que fait la Directive du 13 juin 2024 sur le devoir de vigilance37<\/a><\/sup>dans cette note attachée au paragraphe 17 de l'étude noter quelques exemple des diligences raisonnables que la directive CS2D du 13 juin 2024 exige des entreprises, merci.<\/span>. L'entreprise doit montrer qu'elle fait des efforts crédibles en s'appuyant sur les différentes structures qu'elle a mis en place (plan, programme, formation, évaluation, etc.). Dans ce qui est l'essentiel, c'est-à-dire non pas les process, qui ne sont qu'une condition (certes nécessaire), mais dans les comportements et les effets obtenus en continu ce sont des obligations de moyens que les textes engendrent à la charge de l'entreprise. <\/p>\n

 <\/p>\n

18. <\/strong><\/span>L'on ne peut demander aux entreprises de sauver immédiatement le monde en transformant l'effort requis en obligation de résultat : on peut leur demander de contribuer à  concrétiser cette ambition : c'est une obligation de moyens<\/em><\/strong><\/span> \ud83c\udfaf Pour qualifier en bloc l'Obligation de Compliance de l'entreprise en Obligation de résultat, il Il faudrait soutenir qu'il ne s'agit de demander aux grandes entreprises non pas de participer à la concrétisation de ces buts d'intérêt général global, mais d'exiger d'elles qu'elles transforment, et immédiatement, le monde en jardin d'Eden où la fraternité est acquise et où aucune pollution n'advient, tout risque étant jugulé. Cela n'est ni raisonnable ni rationnel de faire cela. C'est les condamner par avance car le manquement, ainsi conçu, serait par avance acquis.<\/p>\n

 <\/p>\n

19. <\/strong><\/span>L'on ne doit pas , pour limiter la contrainte pesant sur les entreprises, réduire la Compliance à des process mécaniques<\/em><\/strong><\/span> \ud83c\udfaf Pour échapper à cela, une solution imaginée serait tout autant dommageable. En effet, l'idée pourrait d'abandonner cette définition du Droit de la compliance par les Buts Monumentaux, parce que définition trop ambitieuse, trop politique, trop idéaliste, pour exiger simplement des entreprises qu'elles obéissent aux ordres donnés par le Législateur, qu'elles montrer leur obéissance en tous points à toutes les réglementations applicables et peuvent offrir aux autorités politiques et à toutes parties prenantes une immédiate satisfaction, sauf à être sanctionnées. Qu'elles "cochent les cases" et qu'elles retournent à leur affaire, qui est de faire des affaires.<\/p>\n

C'est alors réduire le Droit de la Compliance à la conformité. Ce système d'obéissance est peu libéral et les personnes soucieuses des libertés récusent cette conception qui se referme sur les États, les entreprises et les personnes qui y travaillent comme un étau38<\/a><\/sup>See for instance \ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Les entreprises "cruciales" et leur régulation<\/em> ("Crucial" companies and their regulation)<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span>A. Supiot (ed.), \ud83d\udcd7<\/span>L'entreprise dans un monde sans frontières. Perspectives économiques et juridiques<\/em><\/a>, 2015.<\/span>. Mais il ne faut réduire le Droit de la compliance à la conformité, qui n'est qu'un outil de celui-ci. Nous renvoyons ici à des travaux de définitions comparées entre les deux pour soutenir cela39<\/a><\/sup>notamment mafr (dir.), Les buts monumentaux de la compliance, <\/em>2022 ; Compliance et conformité : les distinguer pour mieux les articuler, 2024.<\/span>.<\/p>\n

 <\/p>\n

20. <\/strong><\/span>L'on ne doit pas, pour autant, croire sur parole les entreprises dans leur affirmations d'obtenir demain les résultats voulus par d'autres ou par elles-mêmes<\/em><\/strong><\/span> \ud83c\udfaf Mais autant l'on ne peut asservir les entreprises par une obligation d'obéir, totale et aveugle, l'on ne peut se contenter d'affirmations vertueuses des personnes qui, au nom des entreprises et à travers diverses déclarations, disent que demain le résultat sera obtenu, que plus tard l'égalité entre les êtres humains sera atteinte, qu'à terme l'équilibre climatique sera restauré, etc., et qu'on ne peut leur demander davantage parce qu'on ne peut répondre du futur et qu'on n'est responsable que des choses passées et non des choses futures40<\/a><\/sup>Sur la difficulté des engagements, v. mafr, in L'obligation de compliance <\/em>; sur l'engagement comme procédé ayant tendance à remplacer à tort l'obligation probatoire, v. infra <\/em>n°00.<\/span>. <\/p>\n

Il est effectivement très difficile d'engager la responsabilité pour inexécution d'une obligation lorsque celle-ci porte sur le futur, car constitue un oxymore le fait de n'avoir pas atteint des buts qui se situent dans l'avenir. C'est là encore la spécificité de la responsabilité Ex Ante engendrée par la Compliance41<\/a><\/sup>mafr, La Responsabilité Ex Ante, pilier du Droit de la Compliance, 2021.<\/span>. Mais l'on peut encore surmonter cet obstacle.<\/p>\n

 <\/p>\n

21. <\/strong><\/span>Obliger à produire des effets crédibles au regard des Buts Monumentaux de la Compliance<\/em><\/strong><\/span> \ud83c\udfaf En effet, il convient d'obliger les entreprises à montrer les effets que les structures de compliance, qu'elles ont bâties parce qu'elles y sont obligées ou parce qu'elles l'on voulu42<\/a><\/sup>mafr, Obligation sur obligation vaut...<\/span>, ont engendré, ces effets assurant la crédibilité des effets futurs annoncés. En cela, la notion de trajectoire est essentielle et constitue le cœur de l'obligation de compliance. Pour résumer, L'entreprise a une obligation de résultat dans la mise en place de la structure de compliance, une obligation de moyens dans l'usage de cette structure pour atteindre les buts monumentaux et une obligation probatoire de montrer qu'au regard des effets déjà produits il est crédible que la trajectoire permettra sa contribution effective à cette ambition qui pourra dans le futur être concrétisée.<\/strong> Cette obligation probatoire sera développée dans la suite de cette étude43<\/a><\/sup>III. A, .... (mettre le titre) ; n°00   et s.<\/span>.<\/p>\n

 <\/p>\n

 <\/p>\n

II. LE CONSTAT D'UNE PLURALITÉ D'OBLIGATIONS DE RÉSULTAT ET D'OBLIGATIONS DE MOYENS, PIÈCES D'UNE OBLIGATION UNIQUE DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

22. <\/strong><\/span>Les obligations structurelles comme obligations de résultats ; les obligations comportementales comme obligations de moyens <\/strong><\/em>\ud83c\udfafSi l'on répertorie les différentes réglementations, il apparaît le Législateur donne parfois des ordres aux entreprises en leur imposant de mettre en place des structures : il s'agit alors d'obligations de résultat (A<\/strong><\/span>). Mais les effets produits sur les comportements des personnes ou les obligations comportementales elles-mêmes constituent des obligations de moyens (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA MISE EN PLACE PAR L'ENTREPRISE DES STRUCTURES REQUISES  PAR LES  LOIS ET RÉGLEMENTATIONS : OBLIGATIONS DE RÉSULTAT <\/strong><\/span><\/p>\n

23. <\/em><\/strong><\/span>Les 3 types d'obligations de résultats : les obligations <\/em>de plano pour que l'entreprise construise la structure de compliance, les obligations secondaires dans la façon de la construire, les obligations conditionnées à l'apparition d'une situation<\/em> <\/strong>\ud83c\udfafL'examen de toutes les obligations auxquelles les lois de compliance assujettissent les entreprises amène a distinguer trois catégories d'obligations de résultat : des obligations consistant pour l'entreprise, de plano<\/em>, à construire une structure de Compliance<\/span> (1<\/strong><\/span>), des obligations de résultat secondaires liées à la construction et au fonctionnement de ces structures<\/span> (2<\/strong><\/span>) et enfin des obligations de résultat dont  le déclenchement est conditionné à l'apparition d'une situation particulière<\/span> (3<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Obligations de résultat de plano <\/em>pour que l'entreprise construise la structure de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

24. <\/strong><\/span>L'obligation de résultat de constituer, conserver et tenir un registre de données à caractère personnel <\/strong><\/em>\ud83c\udfafL'article 6 du Règlement sur la protection des données à caractère personnel, dit "RGPD<\/strong>"44<\/a><\/sup>mettre l'article 6 RGPD ... ; mettre une ou deux doctrines....<\/span>, oblige l'entreprise assujettie à assurer ses fonctions de constitution, de conservation et de tenue du registre de données personnelles, à en désigner un "responsable"45<\/a><\/sup>c'est-à-dire une personne ayant la charge et le pouvoir : mafr, concevoir le pouvoir, 2021 ; ..... in Les puissances privées.<\/em>.., 2024.<\/span> et à recueillir le consentement des personnes pour en faire usage. L'obtention de ce consentement, la réalité de celui-ci en ce qu'il traduit la libre volonté de la personne concernée à laisser l'entreprise disposer de cette information, ainsi que la transmission de ces informations ont donné lieu à un corps si important qu'on considère souvent qu'il constitue un Droit à part entière : le Droit des données personnelles46<\/a><\/sup>Sur la constitution du Droit des données personnelles, v. par ex. ....<\/span>.<\/p>\n

En Droit européen le consentement est conçu comme l'expression de la libre volonté et doit porter également sur l'usage pour lequel la donnée est traitée. En outre, le traitement de certaines données personnelles est interdit. En ce qui concerne plus particulièrement l'obligation de sécurité que les lois font peser sur l'entreprise assujettie, il apparaît que la mise en place d'une structure assurant la sécurité du registre est requise, mais la CNIL par sa décision du 7 août 201447<\/a><\/sup>CNIL, sanct., 24 août 2014,<\/span> pose que l'effet attendu ne peut être une sécurité absolue : il est attendu de l'entreprise qu'elle ait pris un niveau de sécurité satisfaisant, le constat d'un faille ne suffisant pas à engager sa responsabilité. L'on appréhende à travers cette décision la distinction qui va apparaître dans tous les textes entre la mise en place de ce que l'on pourrait appeler des "structures crédibles"48<\/a><\/sup>The ability of these structures to produce the desired effect, for example the targeted security, is an evidential issue: who must prove the sufficiency of these structures? At first sight, because it is a legal requirement under the Compliance Obligation to which the firm is legally subject, it is up to the firm to prove the credibility of the structures it has put in place to produce the desired effect. But once proven, that is enough. The fact that there has been contrary behaviour, for example someone taking advantage of a security flaw, does not in itself incur liability.<\/span>, obligation de résultat, et la production d'effets par ces structures, obligation de moyens.<\/span> Il apparaît ainsi que la mise en place de la structure des registres et de leur garde est une obligation de résultat, la protection des personnes concernées contre l'usage sans leur volonté des informations est une obligation de moyens, mais il faut que dès le départ l'entreprise montre que la structure qu'elle a mis en place soit "crédible", c'est-à-dire soit suffisamment robuste et efficace pour produire raisonnablement cet effet-là, ce pour quoi l'entreprise fera par ailleurs diligence (obligations de moyens).<\/p>\n

 <\/p>\n

25. <\/strong>L'obligation de résultat de mettre en place une politique, un dispositif, des procédures internes, de gestion des risques, comprenant les différents Outils de Compliance visés par les lois  <\/strong><\/em>\ud83c\udfaf De nombreux textes de Compliance contiennent une obligation première consistant à imposer aux entreprises de mettre en place des dispositifs, politiques, procédures internes de gestion des risques systémiques que ceux-ci cherchent à prévenir. Les textes détaillent ensuite le contenu de cette obligation, qui correspond à l'adoption et la mise en oeuvre de divers Outils de Compliance : cartographie des risques, dispositif d'alerte, formation, etc. Ainsi, la loi "Sapin 2"<\/strong> oblige les entreprises assujetties à prendre des "mesures destinées à prévenir et à détecter la commission […] de faits de corruption ou de trafic d'influence"<\/span>\ud83d\udcce<\/span>49<\/a><\/sup>Loi Sapin 2, art. 17 : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II. [...] II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes :" le texte visant ensuite un code de conduite, une cartographie des risques, un dispositif de formation, etc.<\/span>. En matière financière, le règlement anti-blanchiment<\/strong> exige que les entreprises assujetties "disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité" aux règles anti-blanchiment et de gel des avoirs<\/span>\ud83d\udcce<\/span>50<\/a><\/sup>Règlement anti-blanchiment, art. 9, 1. : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur, et, en particulier: a) à atténuer et gérer efficacement les risques de blanchiment de capitaux et de financement du terrorisme identifiés au niveau de l’Union, de l’État membre et de l’entité assujettie; b) outre l’obligation d’appliquer des sanctions financières ciblées, à atténuer et gérer les risques d’absence de mise en œuvre et de contournement de sanctions financières ciblées.".<\/span>, le droit national imposant quant à lui la mise en place d'une "organisation" et de "procédures internes"<\/span>\ud83d\udcce<\/span>51<\/a><\/sup>CMF, art. L. 561-32 pour la lutte contre le blanchiment d'argent et le financement du terrorisme : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.", et L. 562-4-1 pour le gel des avoirs : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national. ".<\/span>. <\/span>Le RIA<\/strong> impose notamment aux fournisseurs de SIA à haut risque de mettre en place un "système de gestion de la qualité", lequel comprend un "système de gestion des risques", qui implique une identification et évaluation des risques, l'adoption de mesures appropriées, etc.<\/span>52<\/a><\/sup>RIA, art. 16 et 17, renvoyant au système de gestion des risques de l'art. 9, 1. : "1.   Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.".<\/span>. En matière de cybersécurité, le règlement DORA<\/strong> impose aux entités financières assujetties de disposer d'un "cadre de gestion du risque lié aux TIC", qui comprend notamment leurs stratégies, politiques et procédures pour "parer au risque lié aux TIC"<\/span>53<\/a><\/sup>Règlement DORA, art. 6 : "1.  Les entités financières disposent d’un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, faisant partie de leur système global de gestion des risques, qui leur permet de parer au risque lié aux TIC de manière rapide, efficiente et exhaustive et de garantir un niveau élevé de résilience opérationnelle numérique.
\r\n2.  Le cadre de gestion du risque lié aux TIC englobe au moins les stratégies, les politiques, les procédures, les protocoles et les outils de TIC qui sont nécessaires pour protéger dûment et de manière appropriée tous les actifs informationnels et les actifs de TIC, y compris les logiciels, le matériel informatique, les serveurs, ainsi que toutes les composantes et infrastructures physiques pertinentes, telles que les locaux, centres de données et zones sensibles désignées, afin de garantir que tous les actifs informationnels et actifs de TIC sont correctement protégés contre les risques, y compris les dommages et les accès ou utilisations non autorisés.".<\/span>. Elles doivent également adopter des politiques et procédures de sauvegarde et des procédures et méthodes de restauration et de rétablissement<\/span>54<\/a><\/sup>Règlement DORA, art. 12, 1. : "1.  Dans le but de veiller à la restauration des systèmes et des données des TIC en limitant au maximum la durée d’indisponibilité, les perturbations et les pertes, aux fins de leur cadre de gestion du risque lié aux TIC, les entités financières définissent et documentent: a) des politiques et procédures de sauvegarde qui précisent la portée des données concernées par la sauvegarde et la fréquence minimale de celle-ci, en fonction de la criticité des informations ou du niveau de confidentialité des données; b) des procédures et méthodes de restauration et de rétablissement.".<\/span>. La directive NIS 2<\/strong> prévoit quant à elle que les entités essentielles doivent prendre des  "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquelles elles ont recours, puis là encore détaille par la suite le contenu de celles-ci<\/span>55<\/a><\/sup>Directive NIS 2, art. 21, 1. "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.".<\/span>.<\/p>\n

Enfin, la loi "Vigilance"<\/strong> engendre d'une façon semblable une obligation de résultat contraignant l'entreprise à adopter formellement un plan comprenant expressément des Outils de Compliance que le législateur a listé. Les effets produits par ces outils relèvent quant à eux d'une obligation de moyens, comme cela sera développé plus loin, mais l'adoption même de ce plan et la présence de tel ou tel mécanisme de Compliance visé par la loi sont quant à eux, pour l'entreprise assujettie, une obligation de résultat<\/span>\ud83d\udcce<\/span>56<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan comporte les mesures de vigilance raisonnable propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation." ; v. infra n° 00 et n° 00.<\/span>. <\/span><\/p>\n

De la même façon, la CS3D<\/strong>, même si elle n'impose pas l'adoption d'un plan formel de vigilance, impose aux entreprises assujetties l'intégration explicite du devoir de vigilance dans leurs politiques et leurs systèmes de gestion des risques, ce qui correspond donc à une obligation de résultat. Les autres textes européens qui se réfèrent à des mécanismes de vigilance n'exigent pas cette présence explicite des outils de vigilance au sein de la politique générale de l'entreprise ni dans leur système de gestion des risques. Ce formalisme peut éventuellement paraître excessif si l'entreprise parvient à produire par ailleurs les effets attendus par le Législateur. <\/span><\/p>\n

 <\/p>\n

26. <\/strong><\/span>L'obligation de résultat d'adopter un programme, un plan, ou un code de conduite Ex Ante visé par la loi <\/strong><\/em>\ud83c\udfafPlusieurs lois exigent expressément des entreprises qu'elles adoptent de plano <\/em>un plan ou un programme. C'est le cas de la loi "Sapin 2"<\/strong> qui, dans son article 1757<\/a><\/sup>mettre le titre exact de la loi Sapin 2 et recopier (au moins en partie) son article 17 qui décrit l'adoption de la cartographie, du système d'alerte, etc.<\/span>  pose l'obligation pour l'entreprise d'adopter un "code de conduite<\/span>" puis détaille un ensemble de mesures et procédures à mettre en oeuvre<\/span>. Recopiant quasiment le mécanisme, la loi de 2017 dite "Vigilance"<\/strong>58<\/a><\/sup>donner le titre exact de la loi Vigilance ; mafr, ... in La société vigilante<\/em>, 2023.<\/span>, impose à l'entreprise d'<\/span>adopter un plan de vigilance, listant les dispositifs qu'il doit comprendre ou auxquels il doit se référer. Ainsi l'entreprise qui n'en adopte pas alors qu'elle est assujettie à ces lois doit justifier l'inexécution de son obligation légale. Dans le même sens, la directive CS3D<\/strong>, si elle n'impose pas à l'entreprise d'établir un plan de vigilance semblable à celui de la loi française de 2017, l'oblige a intégrer le devoir de vigilance dans ses politiques et systèmes de gestion des risques, et précise que cela doit se matérialiser notamment par un code de conduite\ud83d\udcce59<\/a><\/sup>CS3D, art. art. 7 : "[…] 2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants, et contient l’ensemble des éléments suivants : […] b) un code de conduite décrivant les règles et principes à suivre dans l’ensemble de l’entreprise et de ses filiales, et par les partenaires commerciaux directs ou indirects de l’entreprise conformément à l’article 10, paragraphe 2, point b), à l’article 10, paragraphe 4, à l’article 11, paragraphe 3, point c), ou à l’article 11, paragraphe 5".<\/span>.<\/span><\/p>\n

 <\/p>\n

27. <\/strong><\/span>L'obligation de résultat de mise en place d'un système d'alerte  <\/strong><\/em>\ud83c\udfaf Sous diverses appellations, de nombreux textes imposent à l'entreprise de mettre en place un système d'alerte, permettant à des personnes évoluant en son sein ou à des tiers de lui signaler de potentiels manquements, avec pour objectif que l'entreprise ainsi informée puisse dans un second temps agir. Tel est en premier lieu le cas de la loi "Sapin 2"<\/strong>, laquelle contient les règles d'une sorte de droit commun de l'alerte et impose par ailleurs à l'entreprise de mettre en oeuvre un dispositif d'alerte interne à destination de ses employés<\/span>60<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 2° Un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société".<\/span>. Le mécanisme d'alerte est également une des mesures à inclure dans le plan de vigilance et à mettre en oeuvre au titre de la loi de 2017<\/strong>\ud83d\udcce<\/span><\/span>61<\/a><\/sup>Loi vigilance \/ C. Com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span>. Il fait également partie des éléments composant le devoir de vigilance européen, les entreprises assujetties devant mettre en place un "mécanisme de notification et une procédure relative aux plaintes"<\/span>\ud83d\udcce<\/span>62<\/a><\/sup>CS3D, art. 5, f) : "établir et maintenir un mécanisme de notification et une procédure relative aux plaintes conformément à l’article 14" et art. 14, "Les États membres veillent à ce que les entreprises permettent aux personnes et aux entités énumérées au paragraphe 2 de déposer des plaintes auprès d’elles lorsque ces personnes ou entités ont des préoccupations légitimes quant aux incidences négatives réelles ou potentielles en ce qui concerne les activités des entreprises en question, les activités de leurs filiales ou les activités de leurs partenaires commerciaux dans les chaînes d’activités des entreprises.".<\/span>. Le DSA<\/strong> prévoit quant à lui l'obligation pour les fournisseurs de services d’hébergement de mettre en place des mécanismes de notification, permettant à toute personne de leur signaler un contenu illicite<\/span>63<\/a><\/sup>DSA, art. 16 : "Les fournisseurs de services d’hébergement mettent en place des mécanismes permettant à tout particulier ou à toute entité de leur signaler la présence au sein de leur service d’éléments d’information spécifiques que le particulier ou l’entité considère comme du contenu illicite. Ces mécanismes sont faciles d’accès et d’utilisation et permettent la soumission de notifications exclusivement par voie électronique.".<\/span>. Sans prévoir directement l'obligation pour l'entreprise de mettre en place un dispositif d'alerte ou de signalement spécifique, le DMA<\/strong> prévoit que les signalement de ses violations relèvent de la directive sur le lancement d'alerte, de sorte que le dispositif d'alerte établi par les entreprises en application de ce texte et de ses dispositions nationales de transposition (en France la loi "Sapin 2") permet de lancer l'alerte sur les manquements à ses dispositions. <\/span> En matière de lutte contre le blanchiment d'argent, le règlement européen relatif à la LCB-FT<\/strong> prévoit que les entreprises assujetties doivent établir des canaux de signalement interne\ud83d\udcce<\/span><\/span>64<\/a><\/sup>Règlement anti-blanchiment, art. 14, 2. : "Les entités assujetties établissent des canaux de signalement interne qui satisfont aux exigences énoncées dans la directive (UE) 2019\/1937.".<\/span>.<\/span> <\/span>Quant à la cybersécurité, les entités financières assujetties au règlement DORA<\/strong> ont l'obligation d'établir et mettre en oeuvre un processus de gestion des incidents liés aux TIC, lequel comprend notamment les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC<\/span>65<\/a><\/sup>Règlement DORA, art. 17, 3., d) : "3.  Le processus de gestion des incidents liés aux TIC visé au paragraphe 1: [...] d) établit des plans pour la communication à l’intention du personnel, des parties prenantes externes et des médias, conformément à l’article 14, et pour la notification aux clients, les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC, ainsi que pour la fourniture d’informations aux entités financières qui agissent en tant que contreparties, le cas échéant;".<\/span>. <\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

28. <\/strong><\/span>L'obligation de résultat d'établissement <\/span>d'une cartographie des risques  <\/strong><\/em>\ud83c\udfafLa cartographie des risques est un outil central en Droit de la Compliance<\/span>66<\/a><\/sup>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcddDresser des cartographies des risques comme obligation et le paradoxe des "risques de conformité"<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (dir.), \ud83d\udcd5<\/span>Les outils de la Compliance<\/em><\/a>, <\/em>2021.<\/span>, permettant à l'entreprise d'identifier les risques générés par son activité afin dans un second temps d'agir sur ceux-ci. Il est ainsi logique de retrouver l'obligation d'établir une cartographie des risques dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>, dont l'article 17 vise la cartographie des risques au titre des mesures et procédures que l'entreprise a l'obligation de mettre en place<\/span>\ud83d\udcce<\/span>67<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 3° Une cartographie des risques prenant la forme d'une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d'exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activités et des zones géographiques dans lesquels la société exerce son activité".<\/span><\/span>. C'est également le cas en matière de vigilance, la loi de 2017 <\/strong>prévoyant que la cartographie des risques est l'un des éléments que doit comprendre le plan de vigilance<\/span>68<\/a><\/sup>C. com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : 1° Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation".<\/span>, et la CS3D<\/strong> disposant qu'au titre de leur devoir de vigilance les entreprises assujetties ont l'obligation de recenser et évaluer les incidences négatives réelles ou potentielles, notamment en réalisant une cartographie<\/span>\ud83d\udcce<\/span>69<\/a><\/sup>CS3D, art. 5 : "1. Les États membres veillent à ce que les entreprises fassent preuve d’un devoir de vigilance en matière de droits de l’homme et d’environnement fondé sur les risques tel que défini aux articles 7 à 16 («devoir de vigilance») en prenant les mesures suivantes: [...] recenser et évaluer les incidences négatives réelles ou potentielles conformément à l’article 8 et, si nécessaire, hiérarchiser les incidences négatives réelles et potentielles conformément à l’article 9" et art. 8 : "1. Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour recenser et évaluer les incidences négatives réelles et potentielles découlant de leurs propres activités ou de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, conformément au présent article. 2.Dans le cadre de l’obligation définie au paragraphe 1, compte tenu des facteurs de risque pertinents, les entreprises prennent des mesures appropriées pour: cartographier leurs propres activités, celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, celles de leurs partenaires commerciaux, afin de recenser les domaines généraux dans lesquels les incidences négatives sont les plus susceptibles de se produire et d’être les plus graves; procéder, sur la base des résultats de la cartographie visée au point a), à une évaluation approfondie de leurs propres activités, de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, dans les domaines dans lesquels les incidences négatives ont été recensées comme étant les plus susceptibles de se produire et les plus graves.".<\/span>. <\/span>Quant à la CSRD<\/strong>, elle ne contient pas d'obligation expresse et directe pour l'entreprise d'établir une cartographie des risques. Toutefois, en obligeant l'entreprise à établir et publier un "rapport de durabilité" selon un principe de double matérialité, elle conduit l'entreprise à identifier et évaluer non seulement ses impacts sur les enjeux de durabilité (matérialité d'impact) mais encore les risques et opportunités en lien avec ces enjeux (matérialité financière). Ce faisant, le processus mis en oeuvre se rapproche d'une cartographie, si ce n'est des risques, plus largement des impacts, risques et opportunités. Par ailleurs, <\/span>s'il n'impose pas expressément l'établissement d'une cartographie des risques, le corpus de règles relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong> oblige l'entreprise assujettie à mettre en place des politiques et procédures internes devant comprendre une "réalisation et [une] actualisation de l’évaluation des risques à l’échelle de l’entité"<\/span>\ud83d\udcce<\/span>70<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1. Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...] 2. Les politiques, procédures et contrôles visés au paragraphe 1 comprennent : a) les politiques et procédures internes, y compris en particulier : i) la réalisation et l’actualisation de l’évaluation des risques à l’échelle de l’entité".<\/span><\/span>, ce qui en droit français se traduit par une obligation de définir et mettre en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées<\/span>71<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Le RGPD<\/strong>, quant à lui, ne pose pas d'obligation générale d'établissement d'une cartographie des risques. Toutefois, il prévoit que lorsque le traitement "est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques", alors le responsable de traitement doit préalablement effectuer une "analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel", cette analyse comprenant notamment une évaluation des risques pour les droits et libertés des personnes concernées<\/span>\ud83d\udcce72<\/a><\/sup>RGPD, art. 35, 1. et 7 : "1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. 

\r\n\r\n[…]

\r\n\r\n7. L'analyse contient au moins: […]

\r\n\r\nc) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1".<\/span>. Le DSA<\/strong> impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de recenser, analyser et évaluer tout risque systémique généré par la conception ou le fonctionnement de leurs services et systèmes connexes ou de l'utilisation de leurs services\ud83d\udcce73<\/a><\/sup>DSA, art. 34 : "1. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services.".<\/span>. Cela revient à leur imposer d'établir une cartographie des risques, laquelle n'a pas à être publiée mais doit être conservée en vue d'un éventuel contrôle par la Commission ou les autorités nationales\ud83d\udcce74<\/a><\/sup>DSA, art. 34, 3. : "3. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne conservent les documents justificatifs des évaluations des risques pendant au moins trois ans après la réalisation de ces évaluations, et les communiquent à la Commission et au coordinateur pour les services numériques de l’État membre d’établissement, à leur demande.".<\/span><\/span>. L'IA Act<\/strong> appréhende les différents systèmes d'intelligence artificielle à travers les risques qu'ils génèrent et adopte une approche fondée sur les risques générés.<\/em> Ainsi, pour les systèmes d'IA à haut risque, il est nécessaire d'établir un système de gestion des risques devant comprendre une identification et une analyse des risques que le système d'IA peut ou pourrait engendrer pour la santé la sécurité ou les droits fondamentaux\ud83d\udcce75<\/a><\/sup>IA Act, art. 9 : "1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.

\r\n\r\n2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na) l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination".<\/span>. De même, pour les modèles d'IA à usage général il convient d'identifier les risques systémiques qu'ils génèrent\ud83d\udcce76<\/a><\/sup>IA Act, art. 65 : "1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d’IA à usage général présentant un risque systémique:

\r\n\r\na) effectuent une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d’identifier et d’atténuer les risques systémiques;

\r\n\r\nb) évaluent et atténuent les risques systémiques éventuels au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de modèles d’IA à usage général présentant un risque systémique".<\/span>. En matière de cybersécurité, les fabricants de produits comportant des éléments numériques ont l'obligation d'entreprendre une évaluation des risques de cybersécurité associés à leur produit, afin de recenser les risques et exigences essentielles de cybersécurité pertinents\ud83d\udcce77<\/a><\/sup>Règlement cyberrésilience, dont l'article 13 impose notamment une évaluation des risques de cybersécurité liés à un produit comportant des éléments numériques.<\/span>. Spécifiquement p<\/span>our les entités financières, le règlement DORA<\/strong> impose quant à lui, sans mentionner expressément le terme "cartographie", d'identifier de manière continue toutes les sources de risque lié aux TIC et d'évaluer les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions "métiers" s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC\ud83d\udcce78<\/a><\/sup>Règlement DORA, art. 8, 2. : "2. Les entités financières identifient, de manière continue, toutes les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, et évaluent les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions «métiers» s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC. Les entités financières examinent régulièrement, et au moins une fois par an, les scénarios de risque qui ont des incidences sur elles.".<\/span>. Enfin, la directive NIS 2 <\/strong>impose aux entités essentielles et importantes de prendre des mesures de gestion des risques de cybersécurité, ce qui se traduit notamment par des politiques d'analyse et des évaluations des risques, sans qu'une cartographie stricto sensu<\/em> ne soit exigée\ud83d\udcce79<\/a><\/sup>Directive NIS 2, art. 21 : "2.   Les mesures visées au paragraphe 1 sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins: a)les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information; b)la gestion des incidents; c)la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises; d)la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs; e)la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités; f)des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité; g)les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité; h)des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement; i)la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs; j)l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

\r\n\r\n3.   Les États membres veillent à ce que, lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point d), du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. Les États membres veillent également à ce que, lorsqu’elles examinent lesquelles des mesures visées audit point sont appropriées, les entités soient tenues de prendre en compte les résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées conformément à l’article 22, paragraphe 1.".<\/span>. Là encore, c'est l'existence d'un telle politique qui constitue une obligation de résultat, non sa production d'effets. En dernier lieu, là encore sans aller jusqu'à exiger expressément une cartographie des risques, le règlement déforestation<\/strong> impose aux entreprises assujetties de récolter de l'information quant au respect des exigences du texte par les produits visés et d'évaluer le risque de non-conformité de ceux-ci, ce qui revient in fine<\/em> à exiger des opérateurs une forme de cartographie des risques\ud83d\udcce80<\/a><\/sup>Règlement déforestation, art. 9 sur la collecte d'information et art. 10 sur l'évaluation des risques : "1.   Les opérateurs vérifient et analysent les informations recueillies conformément à l’article 9 ainsi que tout autre document pertinent. Sur la base de ces informations et de cette documentation, les opérateurs procèdent à une évaluation du risque visant à déterminer s’il existe un risque que les produits en cause destinés à être mis sur le marché ou exportés ne soient pas conformes. Les opérateurs ne mettent pas les produits en cause sur le marché ni ne les exportent, sauf si l’évaluation du risque révèle l’existence d’un risque nul ou seulement négligeable que les produits en cause soient non conformes.".<\/span>.<\/span><\/p>\n

\n

 <\/span><\/p>\n<\/div>\n

29. <\/strong><\/span>L'obligation de résultat d'une procédure de connaissance du client (LCB-FT) <\/strong><\/em>\ud83c\udfaf <\/em><\/strong>En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement anti-blanchiment impose à l'entreprise assujettie d'adopter des politiques et procédures internes qui lui permet notamment d'être vigilante à l'égard de ses clients<\/span>81<\/a><\/sup>Règlement anti-blanchiment, art. 9, 2., a), iii) : "2.   Les politiques, procédures et contrôles visés au paragraphe 1 comprennent: [...] iii) la vigilance à l’égard de la clientèle aux fins de la mise en œuvre du chapitre III du présent règlement, y compris des procédures pour déterminer si le client, le bénéficiaire effectif, ou la personne pour le compte ou au profit de laquelle une transaction ou une activité est menée est une personne politiquement exposée ou un membre de la famille ou une personne connue pour être étroitement associée;".<\/span>. Le droit interne prévoit que l'entreprise assujettie est tenue d'appliquer des "mesures de vigilance" à l'égard de ses clients, au titre desquelles elle a notamment l'obligation de résultat de mettre en place des "dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme" ainsi qu'une "politique adaptée à ces risques"\ud83d\udcce<\/span>82<\/a><\/sup>CMF, art. L. 561-4-1, al. 1 et 2 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. De même, les organismes financiers ont l'obligation de mettre en place des dispositifs adaptés permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des avoirs constitue une obligation de résultat\ud83d\udcce<\/span>83<\/a><\/sup>ACPR, Commission des sanctions, 27 nov. 2012, n° 2011-03 : "Considérant que, selon le paragraphe 2.2 de l’article 11-7 du règlement n° 97-02 du CRBF susvisé, les banques doivent se doter de dispositifs adaptés à leurs activités permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des fonds, instruments financiers et ressources économiques ; que les mesures de gel ainsi visées sont aussi bien celles prises dans le cadre communautaire déjà mentionné que celles que peut prendre en complément le ministre chargé de l’économie en vertu de l’article L. 562-1 du COMOFI ; que l’aptitude des dispositifs (dont elles doivent se doter) à la détection des opérations litigieuses met à la charge des banques une obligation de résultat ;".<\/span>. Enfin, au titre de la loi "Sapin 2", l'entreprise assujettie doit établir une procédure d'évaluation des tiers, notamment de ses clients\ud83d\udcce84<\/a><\/sup>Loi Sapin 2, art. 17, II., 4° : "II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;".<\/span>.<\/span><\/p>\n

 <\/p>\n

30. <\/strong><\/span>L'obligation de résultat d'une procédure d'évaluation régulière des tiers <\/strong><\/em>\ud83c\udfafLa procédure d'évaluation des tiers est une obligation issue des lois de Compliance, qu'il s'agisse de la loi dite "Vigilance"<\/strong>, qui exige l'établissement d'une procédure d'évaluation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie\ud83d\udcce85<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] 2° Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie des risques".<\/span><\/span> ou<\/span> de la loi "Sapin 2"<\/strong>, qui prévoit également une telle procédure à son article 17, visant quant à elle les "clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques"\ud83d\udcce86<\/a><\/sup>Loi Sapin 2, art. 17, II. : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques".<\/span>. C'est également le cas en matière d'anti-blanchiment, le règlement anti-blanchiment qui prévoiyant des obligations d'évaluation des clients au titre de des mesures de vigilance que l'opérateur assujetti doit déployer à l'égard de sa clientèle<\/span>\ud83d\udcce87<\/a><\/sup>Règlement anti-blanchiment, art. 20.<\/span>, tout comme les dispositions de droit national88<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin la CS3D pose l'obligation pour les entreprises assujetties de procéder à des "évaluations périodiques" de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux<\/span>\ud83d\udcce89<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>.<\/span> En outre, la directive oblige les entreprises assujetties à recenser les incidences négatives réelles et potentielles non seulement de son activité mais encore de celle de ses filiales et partenaires commerciaux s'insérant dans leur chaîne d'activité, ce qui les conduit à mettre en place de telles procédures<\/span>\ud83d\udcce90<\/a><\/sup>CS3D, art. 8.<\/span>.<\/span><\/p>\n

 <\/p>\n

31. <\/strong>L'obligation de résultat de mettre en place une formation <\/strong><\/em>\ud83c\udfaf La formation est un outil central en matière de Compliance\ud83d\udcce91<\/a><\/sup>\ud83d\udd74\ud83c\udffbM.-A. Frison-Roche, \ud83d\udcddLa formation : contenu et contenant de la Compliance, in<\/em> \ud83d\udd74\ud83c\udffbM.-A. Frison-Roche (dir.), \ud83d\udcd5Les outils de la Compliance<\/em>, 2021.<\/span>, présent dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce92<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 6° Un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d'influence".<\/span>, du règlement anti-blanchiment <\/strong>du 31 mai 2024\ud83d\udcce93<\/a><\/sup>Règlement antiblanchiment, art. 12 : "Les entités assujetties prennent des mesures pour veiller à ce que les membres de leur personnel ou les personnes se trouvant dans une situation comparable dont la fonction l’exige, y compris leurs agents et distributeurs, aient connaissance des exigences découlant du présent règlement, du règlement (UE) 2023\/1113 et de tout acte administratif émis par tout superviseur, et de l’évaluation des risques à l’échelle de l’entité, ainsi que des politiques, procédures et contrôles internes en place dans l’entité assujettie, y compris en ce qui concerne le traitement des données à caractère personnel aux fins du présent règlement.

\r\n\r\nLes mesures visées au premier alinéa comprennent la participation des membres du personnel ou des personnes se trouvant dans une situation comparable, y compris des agents et distributeurs, à des programmes spécifiques de formation continue visant à les aider à reconnaître les opérations susceptibles d’être liées au blanchiment de capitaux ou au financement du terrorisme et à les instruire sur la manière de procéder en pareil cas. Ces programmes de formation sont adaptés à leurs fonctions ou activités et aux risques de blanchiment de capitaux et de financement du terrorisme auxquels l’entité assujettie est exposée, et sont dûment documentés.".<\/span>, ou bien encore des règles de droit national en matière de lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong>\ud83d\udcce94<\/a><\/sup>CMF, art. L. 561-34, al. 2 : "Dans le même but, elles mettent en place toute action de formation utile." et art. R.561-38-1 : "Les personnes mentionnées à l'article L. 561-2 s'assurent que les personnes participant à la mise en œuvre des obligations prévues au présent chapitre disposent d'une expérience, d'une qualification et d'une position hiérarchique adéquates pour exercer leurs missions. En outre, elles veillent à ce que ces personnes bénéficient de formations adaptées à leurs fonctions ou activités, à leur position hiérarchique ainsi qu'aux risques identifiés par la classification des risques mentionnée à l'article L. 561-4-1 et à ce qu'elles aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. ".<\/span> et de gel des avoirs\ud83d\udcce95<\/a><\/sup>CMF, art. R. 562-1 : "Les personnes mentionnées à l'article L. 561-2 veillent à ce que les personnels qui participent à la mise en œuvre des mesures mentionnées au premier alinéa bénéficient de formations appropriées et aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. Les agents mentionnés à l'article L. 523-1 et les personnes auxquelles les établissements de monnaie électronique ont recours en vue de distribuer de la monnaie électronique au sens de l'article L. 525-8 sont assimilés aux personnels des personnes mentionnées à l'article L. 521-1 pour l'application de ces dispositions."<\/span><\/span>. La CS3D<\/strong> mentionne les formations au titre des mesures de soutien qu'un opérateur assujetti doit fournir à un partenaire contractuel qui serait une PME, l'opérateur pouvant ainsi donner accès à des possibilités de formation\ud83d\udcce96<\/a><\/sup>CS3D, art. 10 et 11, rédigés en termes identiques sur ce point, v. pour l'article 10 : "2. Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins: [...] e) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement".<\/span>. Au titre du RGPD<\/strong>, les règles d'entreprise contraignantes doivent notamment comprendre une formation en matière de protection des données personnelles pour les employés ayant un accès permanent ou régulier à de telles données\ud83d\udcce97<\/a><\/sup>RGPD, art. 47, 2. n) : "2.  Les règles d'entreprise contraignantes visées au paragraphe 1 précisent au moins: [...] n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.".<\/span>. Le RIA<\/strong> impose quant à lui une obligation générale de maîtrise de l'IA, qui se traduit notamment par l'obligation pour les fournisseurs et déployeurs de prendre des mesures pour garantir, "dans toute la mesure du possible", "un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte"\ud83d\udcce98<\/a><\/sup>RIA, art. 4 : "Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.".<\/span> <\/strong>et des obligations de formation, par exemple du fournisseurs à l'égard du déployeur d'un SIA à haut risque\ud83d\udcce99<\/a><\/sup>RIA, art. 9, 5., c) : "5.   Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d’IA à haut risque sont jugés acceptables. Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à: [...] c) fournir aux déployeurs les informations requises conformément à l’article 13 et, éventuellement, une formation. ".<\/span>. <\/em>Comme le montre l'expression "dans […] la mesure du possible", l'atteinte du résultat visé, c'est à dire que la formation permette d'augmenter les connaissances et compétences des participants afin d'engendrer, dans un second temps, des comportements qui auront un effet positif sur le système, constitue une obligation de moyens. Seule la mise en place d'une formation constitue une obligation de résultat.<\/span> Enfin, en matière de cybersécurité, le règlement DORA<\/strong> impose quant à lui aux entités financières assujetties d'élaborer des "programmes de sensibilisation à la sécurité des TIC" ainsi que des "formations à la résilience opérationnelle numérique" et de les intégrer à leurs programmes de formation du personnel sous forme de modules obligatoires100<\/a><\/sup>Règlement DORA, art. 13, 6. : "6. Les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu’elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires. Ces programmes et formations sont destinés à tous les employés et aux membres de la direction et présentent un niveau de complexité proportionné à leurs fonctions. Le cas échéant, les entités financières incluent également les prestataires tiers de services TIC dans leurs programmes de formation pertinents conformément à l’article 30, paragraphe 2, point i).".<\/span>. <\/span><\/p>\n

Ainsi, si l'existence de la formation (effectivité) constitue une obligation de résultat, la propension de celle-ci à atteindre le but fixé (efficacité) – en l'occurrence l'acquisition de connaissances par les participants – et à produire dans un second temps des effets sur le système (efficience) relèvent quant à elles d'obligations de moyens.<\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

32. <\/strong>L'obligation de résultat de mettre en place un dispositif de contrôle interne, ou de suivi des mesures <\/strong><\/em>\ud83c\udfafLes entreprises ne doivent pas seulement adopter des "mesures" permettant de détecter, prévenir et le cas échéant remédier aux risques visés par les différents textes de Compliance, elles ont en outre l'obligation de contrôler la production d'effets par celles-ci, afin le cas échéant d'adapter lesdites mesures, les changer ou en adopter de nouvelles. C'est pourquoi les différents textes de Compliance obligent les entreprises à mettre en place des dispositif de suivi des mesures prises. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce101<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 8° Un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre."<\/span><\/span>, de la loi "Vigilance"<\/strong>\ud83d\udcce102<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] <\/span>5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité"<\/span> ou bien encore de la CS3D103<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>. L'IA Act<\/strong> prévoit quant à lui une procédure d'évaluation de la conformité fondée sur le contrôle interne, à laquelle doivent recourir certains fournisseurs de SIA à haut risque pour évaluer la conformité de celui-ci\ud83d\udcce104<\/a><\/sup>RIA, art. 43, qui renvoie à l'annexe VI : "1. La procédure d'évaluation de la conformité fondée sur le contrôle interne est la procédure d'évaluation de la conformité décrite aux points 2, 3 et 4.

\r\n\r\n2. Le fournisseur vérifie que le système de gestion de la qualité établi est conforme aux exigences de l'article 17.

\r\n\r\n3. Le fournisseur examine les informations contenues dans la documentation technique afin d'évaluer la conformité du système d'IA aux exigences essentielles pertinentes énoncées au chapitre III, section 2.

\r\n\r\n4. Le fournisseur vérifie également que le processus de conception et de développement du système d'IA et son système de surveillance après commercialisation prévu à l'article 72 sont cohérents avec la documentation technique.".<\/span>. Il en va de même pour le fabricant qui aurait à démontrer la conformité d'un produit comportant des éléments numérique au règlement cyberrésilience<\/strong>\ud83d\udcce105<\/a><\/sup>Règlement cyberrésilience, art. 32.<\/span>. Le règlement DORA impose quant à lui aux entittés financières assujetties de disposer d'un cadre de contrôle interne\ud83d\udcce106<\/a><\/sup>Règlement DORA, art. 5, 1. : "1.  Les entités financières disposent d’un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux TIC, conformément à l’article 6, paragraphe 4, en vue d’atteindre un niveau élevé de résilience opérationnelle numérique.".<\/span>. En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong> prévoit que les entreprises assujetties doivent mettre en place des mesures de contrôle interne\ud83d\udcce107<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...]".<\/span>, tout comme le droit national<\/strong>\ud83d\udcce108<\/a><\/sup>CMF, art. L. 561-2, I.  : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.".<\/span>, y compris en matière de gel des avoirs\ud83d\udcce109<\/a><\/sup>CMF, art. L. 562-4-1, I. : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national.".<\/span>. Le DSA<\/strong> comme le DMA<\/strong> obligent les entreprises assujetties à mettre en place une fonction de vérification de la conformité, chargé d'opérer un contrôle du respect du règlement\ud83d\udcce<\/span>110<\/a><\/sup>DMA, art. 28.<\/span>. Enfin, le règlement déforestation<\/strong> prévoit également la mise en place de mesures de contrôle interne, afin de détecter et prévenir le risque de non-conformité au règlement des produits en cause\ud83d\udcce111<\/a><\/sup>Règlement déforestation, art. 11, 2. : "2.   Les opérateurs mettent en place des stratégies, des contrôles et des procédures suffisants et proportionnés pour atténuer et gérer efficacement les risques détectés de non-conformité des produits en cause. Ces politiques, contrôles et procédures comprennent notamment:

\r\n\r\na)les pratiques en matière de gestion des risques de modèles, la production de rapports, la tenue de registres, le contrôle interne et la gestion de la conformité, y compris la désignation d’un responsable de la conformité au niveau de l’encadrement pour les opérateurs qui ne sont pas des PME;

\r\n\r\nb)une fonction d’audit indépendante chargée de vérifier les stratégies, contrôles et procédures internes visés au point a) pour tous les opérateurs qui ne sont pas des PME.".<\/span>. <\/span><\/p>\n

 <\/div>\n

2. Obligations de résultat secondaires dans la construction et le fonctionnement des structures de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

33. <\/strong><\/span>Obligation de concertation avec les parties prenantes : exigence de la loi Vigilance et de la CS3D ; absence d'exigence de la CSRD  <\/strong><\/em>\ud83c\udfafAfin de satisfaire son Obligation de Compliance, l'entreprise a besoin d'information. C'est à ce titre qu'il est courant de retrouver dans les textes des incitations, voire des obligations, de dialogue avec les parties prenantes. Ainsi, en matière de vigilance, si en application de la loi française dite "Vigilance"<\/strong> le plan de vigilance "a vocation à être élaboré en association avec les parties prenantes"<\/span>\ud83d\udcce<\/span>112<\/a><\/sup>C. com., art. L.225-102-1 : <\/span>"Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale".<\/span> – ce qui ne signifie pas co-construit – le mécanisme d'alerte qu'il comprend doit quant à lui être élaboré "en concertation avec les organisations syndicales représentatives"<\/span>\ud83d\udcce113<\/a><\/sup>C. com., art. L.225-102-1 : "4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span><\/span>, ce qui va plus loin que la simple association et "suppose une transmission d'éléments d'information et un échange de points de vue et de propositions sur la rédaction du contenu et la mise en oeuvre du mécanisme à établir, en vue, et donc en amont, de son élaboration"<\/span>\ud83d\udcce114<\/a><\/sup>CA Paris, La Poste.<\/span>. Dans le même sens, la CS3D<\/strong> impose une association des parties prenantes aux différents stades du devoir de vigilance, de la collecte des informations à l'élaboration d’indicateurs qualitatifs et quantitatifs de suivi\ud83d\udcce115<\/a><\/sup>La proposition de directive dite "content" du "Package Omnibus I" réduirait les étapes concernées par cette obligation, en n'imposant désormais plus d'association pour la décision de suspension ou de rupture d'une relation commerciale et pour l"élaboration d’indicateurs qualitatifs et quantitatifs de suivi.<\/span>. L'entreprise a ainsi l'obligation de "mener des échanges constructifs avec les parties prenantes"\ud83d\udcce116<\/a><\/sup>CS3D, art. 5, 1., e) : "mener des échanges constructifs avec les parties prenantes conformément à l’article 13"<\/span> et de prendre des "mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes"\ud83d\udcce117<\/a><\/sup>CS3D, art. 13, 1 : "Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes, conformément au présent article."<\/span>. De manière plus spécifique, le texte prévoit que la "politique en matière de devoir de vigilance" est "élaborée après concertation avec les salariés de l’entreprise et leurs représentants"\ud83d\udcce118<\/a><\/sup>CS3D, art. 7, 2. : "2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants [...]".<\/span>.<\/span><\/p>\n

Il convient toutefois de souligner que ces diverses obligations de prise en compte, d'association des parties prenantes ne vont pas jusqu'à permettre à celles-ci de décider de la stratégie et de la gestion de l'entreprise, ni même de "co-décider". La distinction entre les shareholders<\/em> et les stakeholders<\/em> demeure. Les parties prenantes sont consultées parce qu'elles matérialisent une partie des intérêts qui sont extérieurs à l'entreprise et qu'on lui demande de connaître et de "prendre en considération".<\/span><\/p>\n

Au contraire, une telle exigence ne figure pas dans la CSRD. Il est en effet essentiel de distinguer l'obligation de faire, de l'obligation de dire, de l'incitation à consulter les parties prenantes. Dans<\/span> la CSRD, il ne s'agit aucunement d'une obligation de faire qui consisterait à consulter les parties prenantes dans l'élaboration du rapport de durabilité, mais simplement, d'une part d'une recommandation d'associer celles-ci dans l'élaboration du rapport<\/span>\ud83d\udcce<\/span>119<\/a><\/sup>Règlement délégué ESRS, ESRS 1, 3.1 : "24. Le dialogue avec les parties prenantes affectées est un élément essentiel pour le processus permanent de vigilance raisonnable de l’entreprise (voir chapitre 4 Vigilance raisonnable) et pour l’évaluation de la matérialité en matière de durabilité. Il est également crucial pour les processus d’identification et d’évaluation des impacts négatifs, réels et potentiels, qui contribuent à leur tour au processus d’évaluation visant à identifier les impacts matériels aux fins de l’information en matière de durabilité (voir section 3.4 de la présente norme).".<\/span>, et d'autre part d'une obligation de dire, qui consiste pour l'entreprise à reporter <\/em>sur la manière dont les intérêts et points de vue des parties prenantes sont "pris en considération par l’entreprise dans sa stratégie et son modèle économique"<\/span>\ud83d\udcce<\/span>120<\/a><\/sup>V. not. règlement délégué ESRS, "Exigence de publication SBM-2 — Intérêts et points de vue des parties prenantes"<\/span><\/span>. En revanche, si les entreprises organisent une telle concertation, ce que de fait elles font, c'est parce qu'elles font usage de leur volonté et non pas pour obéir à la loi121<\/a><\/sup>Pour plus de développements, v. Obligation sur Obligation vaut et A quoi engagent les engagements.<\/span>.<\/div>\n
 <\/div>\n
D'une façon plus générale, les diverses réglementations ne posent pas une consultation des parties prenantes122<\/a><\/sup>RGPD - consultation parties prenantes concerne les autorités publiques (et moins présent)<\/span>

\r\n\r\nIA Act - consultation<\/span> parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nData Act - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDGA - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nR LCBFT - non (1 occurrence dans un considérant)<\/span>

\r\n\r\nD LCBFT  - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nCyberrésilience - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDORA - communication aux parties prenantes, donc pas concertation

\r\n\r\n\r\nNIS 2 - concerne les autorités publiques : information des parties prenantes et inclusion de celles-ci dans le plan national <\/span>

\r\n\r\nDSA - concerne les autorités publiques et pas une concertation<\/span>

\r\n\r\nDMA - non<\/span><\/span>. La tendance de certains auteurs à désigner la consultation des parties prenantes comme étant une sorte de règle générale n'est donc pas exacte. Il s'agit davantage d'une pratique mise en place par les organes de direction.<\/div>\n
\n

 <\/p>\n<\/div>\n

34. <\/strong><\/span>Obligation de publicité des structures de Compliance  <\/strong><\/em>\ud83c\udfaf Plusieurs textes de Compliance obligent les entreprises non seulement à adopter des structures de Compliance, mais encore à rendre compte de celles-ci en les exposant dans un document rendu public. Tel est le cas de la loi "Vigilance", qui oblige l'entreprise à publier son plan de vigilance et le compte-rendu effectif de la mise en oeuvre de celui-ci dans son rapport de gestion\ud83d\udcce123<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan de vigilance et le compte rendu de sa mise en œuvre effective sont rendus publics et inclus dans le rapport de gestion mentionné au deuxième alinéa de l'article L. 225-100.".<\/span>. La CS3D impose quant à elle à l'entreprise assujettie de "communiquer publiquement sur le devoir de vigilance", en publiant sur leur site internet une "déclaration annuelle" qui correspond à un "rapport sur les questions couvertes par la […] directive"\ud83d\udcce124<\/a><\/sup>CS3D, art. 5, 1., h) et art. 16.<\/span>.<\/span><\/p>\n

La CSRD impose quant à elle aux entreprises assujetties de publier des informations en matière de durabilité – plus connues sous l'appellation "rapport de durabilité" -, au sein d'une section de leur rapport de gestion125<\/a><\/sup>CSRD, art. 1er.<\/span>. <\/p>\n

On mesure en pratique que les entreprises publient davantage que la loi ne les y contraint, soit qu'elles rendent spontanément disponible des informations qui ne sont que quérables à l'initiative des personnes intéressées, soit qu'elles publient des informations qui pourraient demeurer purement et simplement internes. Il s'agit alors d'une politique volontaire qui leur est propre. <\/p>\n

 <\/p>\n

35. <\/strong><\/span>L'obligation de résultat d'organiser un système interne de sanctions disciplinaires : exigence de la loi "Sapin 2" <\/span> <\/strong><\/em>\ud83c\udfafL'article 17 de la loi dite "Sapin 2"<\/span>126<\/a><\/sup>insérer la disposition de l'article 17 de la loi Sapin 2 sur l'obligation de mettre en place un système de sanction disciplinaire. <\/span><\/span> impose à l'entreprise la mise en place d'un "régime disciplinaire permettant de sanctionner les salariés de la société en cas de violation du code de conduite de la société".<\/span> Il n'y a que la loi "Sapin 2" qui oblige les entreprises à l'adoption d'un tel système de sanction disciplinaire. On observe en pratique que des entreprises ont choisi d'organiser spontanément un tel système pour accroitre l'efficacité d'autres corpus réglementaires.<\/p>\n

 <\/p>\n

3. Obligations de résultat conditionnée à l'apparition d'une situation particulière <\/strong><\/span><\/p>\n

 <\/p>\n

36. <\/strong><\/span>L'obligation de résultat conditionnée de mettre en place des actions adaptées et suivies d'atténuation des atteintes ou des risques d'atteinte : apparition de cette obligation s'il apparaît une perspective d'atteintes graves ou de risques avérés <\/strong><\/em> <\/strong><\/em>\ud83c\udfafLes textes de Compliance sont fondés sur une approche par les risques. Ainsi, une fois que l'entreprise a identifié les risques que le texte en cause cherche à prévenir, notamment via une cartographie de ceux-ci, elle doit agir en considération de ceux-ci. Les textes obligent ainsi les entreprises à adopter des "mesures adaptées", des "mesures appropriées", etc., c'est-à-dire des mesures adéquates et proportionnées au regard des risques qu'elles ont identifiés, afin de prévenir la réalisation de ceux-ci et le cas échéant d'y remédier voire de réparer. C'est donc cette identification première d'un risque, qui déclenche l'obligation d'adoption par l'entreprise assujettie de telles mesures. En outre, si l'adoption et la mise en place de la mesure, le fait qu'elle existe (effectivité), constitue une obligation de résultat, le caractère "adapté" ou "approprié" de celle-ci, c'est à dire sa capacité à atteindre le but fixé (efficacité) et à produire des effets systémiques (efficience), constitue nécessairement une obligation de moyens.<\/span><\/p>\n

La loi dite "Sapin 2" <\/strong>impose aux entreprises de mettre en place un "dispositif de contrôle et d'évaluation interne des mesures mises en œuvre"<\/span>127<\/a><\/sup>Loi Sapin 2, art. 17, I. : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II.".<\/span>. La loi "Vigilance"<\/strong> <\/span>pose que l'entreprise doit prendre des "actions adaptées d'atténuation des risques et de prévention des atteintes graves" et doit organiser le suivi de ces actions128<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 3° Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves ; [...] 5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.".<\/span>. De nombreux textes européens obligent l'entreprise à prendre des "mesures appropriées" afin de prévenir les risques identifiés. Tel est le cas du règlement déforestation129<\/a><\/sup>Règlement déforestation, art. 11 : "1.  À l’exception des cas où une évaluation du risque effectuée conformément à l’article 10 révèle qu’il existe un risque nul ou seulement négligeable que les produits en cause soient non conformes, l’opérateur, avant de mettre les produits en cause sur le marché ou de les exporter, adopte des procédures et mesures d’atténuation du risque appropriées pour parvenir à un risque nul ou seulement négligeable. Ces procédures et mesures peuvent inclure l’un ou l’autre des éléments suivants:

\r\n\r\na) une demande d’informations, de données ou de documents supplémentaires;

\r\n\r\nb) la réalisation d’enquêtes ou d’audits indépendants;

\r\n\r\nc) l’adoption d’autres mesures ayant trait aux exigences en matière d’informations énoncées à l’article 9.".<\/span>, de la CS3D<\/strong>, qui oblige à prendre des "mesures appropriées" notamment afin de prévenir les "incidences négatives"<\/span>\ud83d\udcce<\/span>130<\/a><\/sup>CS3D, art. 10, 2. : "2.  Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins:

\r\n\r\na) si nécessaire, en raison de la nature ou de la complexité des mesures requises pour la prévention, élaborer et mettre en œuvre sans retard injustifié un plan d’action en matière de prévention, assorti de calendriers raisonnables et clairement définis pour la mise en œuvre des mesures appropriées et d’indicateurs qualitatifs et quantitatifs permettant de mesurer les améliorations; les entreprises peuvent élaborer leurs plans d’action en coopération avec les initiatives sectorielles ou multipartites; le plan d’action en matière de prévention est adapté aux activités et à la chaîne d’activités des entreprises;

\r\n\r\nb) s’efforcer d’obtenir de la part d’un partenaire commercial direct des garanties contractuelles par lesquelles ce dernier s’engage à respecter le code de conduite de l’entreprise et, en tant que de besoin, un plan d’action en matière de prévention, notamment en instaurant des garanties contractuelles correspondantes de la part de ses partenaires, dans la mesure où leurs activités font partie de la chaîne d’activités de l’entreprise. Lorsque de telles garanties contractuelles sont obtenues, le paragraphe 5 s’applique;

\r\n\r\nc) réaliser les investissements financiers ou non financiers, les ajustements ou les améliorations nécessaires, par exemple dans les installations, les processus et infrastructures de production ou d’autres processus et infrastructures opérationnels;

\r\n\r\nd) apporter les modifications ou améliorations nécessaires au plan d’entreprise, aux stratégies globales et aux activités de l’entreprise, y compris les pratiques en matière d’achat, de conception et de distribution;

\r\n\r\ne) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement;

\r\n\r\nf) dans le respect du droit de l’Union, y compris du droit de la concurrence, collaborer avec d’autres entités, y compris, le cas échéant, pour renforcer la capacité de l’entreprise à prévenir ou à atténuer l’incidence négative, en particulier lorsque aucune autre mesure n’est appropriée ou efficace.".<\/span>, ou bien encore le RIA<\/strong>, qui au titre du système de gestion des risques mis en place en cas de système d'IA à haut risque impose "l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés"<\/span>\ud83d\udcce<\/span>131<\/a><\/sup>RIA, art. 9, 2. : "2.   Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na)l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination;

\r\n\r\nb)l’estimation et l’évaluation des risques susceptibles d’apparaître lorsque le système d’IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible;

\r\n\r\nc)l’évaluation d’autres risques susceptibles d’apparaître, sur la base de l’analyse des données recueillies au moyen du système de surveillance après commercialisation visé à l’article 72;

\r\n\r\nd)l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés en vertu du point a).".<\/span>. Toujours au regard des risques identifiés et de manière proportionnée, le RGPD<\/strong> exige du responsable de traitement et de son éventuel sous-traitant de mettre en oeuvre des "techniques et organisationnelles appropriées"<\/span>\ud83d\udcce<\/span>132<\/a><\/sup>RGPD, art. 32, 1. : "1.  Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

\r\n\r\na) la pseudonymisation et le chiffrement des données à caractère personnel;

\r\n\r\nb) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

\r\n\r\nc) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

\r\n\r\nd) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.".<\/span>. Le DSA<\/strong> oblige les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne à mettre en place des mesures d'atténuation des risques, désignées comme "mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés"<\/span>\ud83d\udcce<\/span>133<\/a><\/sup>DSA, art. 35 : "1.  Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant".<\/span>. L'on retrouve là encore l'adoption de telles mesures au regard des risques identifiés et la proportionnalité. Tel est également le cas en matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong>, qui exige l'adoption de "mesures appropriées" de gestion des risques<\/span>\ud83d\udcce<\/span>134<\/a><\/sup>Règlement anti-blanchiment, art. 10 : "Avant le lancement de nouveaux produits, services ou pratiques commerciales, y compris l’utilisation de nouveaux canaux de distribution et de technologies nouvelles ou en cours de développement, en liaison avec des produits et services nouveaux ou préexistants, ou avant de commencer à fournir un service ou produit existant à un nouveau segment de clientèle ou dans une nouvelle zone géographique, les entités assujetties recensent et évaluent, en particulier, les risques de blanchiment de capitaux et de financement du terrorisme qui y sont liés et prennent des mesures appropriées afin de gérer et d’atténuer ces risques." et art. 20.<\/span>, ou du droit national<\/strong> qui, au titre des obligations de vigilance à l'égard de la clientèle, exigent la mise en place d'une "politique adaptée" aux risques identifiés<\/span>\ud83d\udcce<\/span>135<\/a><\/sup>CMF, art. L. 561-4-1, al. 2 : "A cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin, en matière de cybersécurité, les fabricants de produits comportant des éléments numérique doivent disposer de "politiques et procédures appropriées" en application du règlement cyberrésilience<\/strong><\/span>\ud83d\udcce<\/span>136<\/a><\/sup>Règlement cyberrésilience, art. 13, 8. : "[...] Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.".<\/span>, les entités financières doivent déployer des "outils,  […] stratégies et […] procédures appropriés en matière de sécurité des TIC aux termes du règlement DORA<\/strong> et, enfin, en application de la directive NIS 2<\/strong>, les entités essentielles et importantes doivent adopter des "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquels elles ont recours<\/span>\ud83d\udcce<\/span>137<\/a><\/sup>Directive NIS 2, art. 21 : "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

\r\n\r\nLes mesures visées au premier alinéa garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Lors de l’évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.".<\/span>.<\/span><\/p>\n

La mise en place de telles mesures "adaptées" ou "appropriées", le fait qu'elles existent (effectivité), constitue une obligation de résultat. En revanche, la production d'effets par celles-ci qui sont de nature à atteindre les objectifs fixés par la règle (efficacité) et ainsi à affecter le système (efficience), relève quant à elle d'une obligation de moyens. <\/span><\/p>\n

En outre, dès l'instant que la mesure élaborée par l'entreprise assujettie porte effectivement sur la difficulté ou la défaillance identifiée, elle est présumée adaptée. C'est donc à celui qui se prévaudrait de la mesure effectivement adoptée, en alléguant qu'elle est néanmoins inadaptée, de démontrer son inadaptation.<\/span><\/div>\n

 <\/p>\n

37. <\/strong><\/span>L'obligation de résultat conditionnée de transmission ou de non-transmission d'information à des tiers : apparition de cette obligation si l'on est détenteur de l'information  <\/strong><\/em>\ud83c\udfaf En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, les professionnels assujettis ont l'obligation de déclarer à Tracfin les sommes ou opérations portant sur des sommes "dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme"<\/span>138<\/a><\/sup>CMF, art. L. 561-15 : "".<\/span>. Les personnes qui n'entreraient pas dans la liste des professionnels assujettis (, etc.) et qui "<\/span>dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux<\/span>"<\/span> ont quant à elle l'obligation d'effectuer une déclaration au procu<\/span>reur pour des opérations dont elles ont connaissance et dont elles savent que les sommes en cause proviennent d'une infraction visée à l'article L. 561-15 du CMF<\/span>139<\/a><\/sup>CMF, art. L. 561-1 : "Les personnes autres que celles mentionnées à l'article L. 561-2 qui, dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux, sont tenues de déclarer au procureur de la République les opérations dont elles ont connaissance et qui portent sur des sommes qu'elles savent provenir de l'une des infractions mentionnées à l'article L. 561-15.".<\/span>.<\/span><\/p>\n

Ces obligations de déclaration se déclenchent en raison de la connaissance de la provenance illégale des sommes pour la seconde et de la connaissance, du soupçon ou de l'existence d'indices permettant de soupçonner cette origine illégale pour la première. Dans les deux cas ces obligations n'imposent pas à l'opérateur de rechercher des informations quant à l'origine des fonds. D'autres obligations, notamment de vigilance, l'amèneront pour partie à le faire. Mais ici il n'a pas à chercher à collecter des informations, il n'a pas une obligation de savoir. En revanche, s'il acquiert cette connaissance, ou s'il soupçonne ou devrait soupçonner, en raison des éléments de faits entourant les sommes ou l'opération, que celles-ci présentant un caractère illégal, alors son obligation de déclaration se déclenche.<\/span><\/p>\n

Toutefois, il se peut que cette obligation de déclaration soit bloquée, en ce qu'elle se heurterait à un secret. Ainsi et par exemple, les avocats qui interviennent dans une activité juridictionnelle ou donnent une consultation juridique (à condition que celle-ci ne soit pas fournies à des fins de blanchiment de capitaux ou de financement du terrorisme et\/ou que l'avocat ne sache pas que c'est à cette fin que le client le demande) n'ont pas à effectuer de déclaration<\/span>\ud83d\udcce<\/span>140<\/a><\/sup>CMF, art. L. 561-3, II. : "II. – Les avocats au Conseil d'Etat et à la Cour de cassation, les avocats et les personnes mentionnées au 18° de l'article L. 561-2 dans l'exercice d'une activité mentionnée au I ne sont pas soumis aux dispositions de la section 4 du présent chapitre et de l'article L. 561-25 lorsque l'activité se rattache à une procédure juridictionnelle, que les informations dont ils disposent soient reçues ou obtenues avant, pendant ou après cette procédure, y compris dans le cadre de conseils relatifs à la manière d'engager ou d'éviter une telle procédure, non plus que lorsqu'ils donnent des consultations juridiques, à moins qu'elles n'aient été fournies à des fins de blanchiment de capitaux ou de financement du terrorisme ou en sachant que le client les demande aux fins de blanchiment de capitaux ou de financement du terrorisme.".<\/span>. Le secret, qui constitue une obligation de non-transmission d'information, fait ainsi, par exception, échec à leur obligation de déclaration, c'est à dire de transmission d'information. En outre, ce même secret justifie que, lorsqu'ils interviennent au titre de leur activité de conseil et hors consultation juridique, leur obligation de déclaration soit aménagée : il existe un filtre du bâtonnier, de sorte qu'ils ne transmettent pas l'information directement à Tracfin mais à leur bâtonnier, qui à son tour communiquera l'information à Tracfin s'il estime que les conditions sont réunies<\/span>\ud83d\udcce<\/span>141<\/a><\/sup>CMF, art. L. 561-17, al. 1er : "Par dérogation aux articles L. 561-15 et L. 561-16, l'avocat au Conseil d'Etat et à la Cour de cassation ou l'avocat ou la caisse des règlements pécuniaires des avocats communique la déclaration, selon le cas, au président de l'ordre des avocats au Conseil d'Etat et à la Cour de cassation ou au bâtonnier de l'ordre auprès duquel l'avocat est inscrit ou au bâtonnier de l'ordre auprès duquel est inscrit l'avocat ayant déposé les fonds, effets ou valeurs faisant l'objet de cette déclaration. Dès lors que les conditions fixées à l'article L. 561-3 sont remplies, ces autorités transmettent la déclaration au service mentionné à l'article L. 561-23, dans les délais et selon les modalités définis par décret en Conseil d'Etat.".<\/span>.<\/span><\/p>\n

 <\/p>\n

38. <\/strong>L'obligation de résultat conditionnée d'action sur un contenu illicite : apparition de cette obligation si l'on est détenteur de l'information – le DSA  <\/strong><\/em>\ud83c\udfaf Le DSA commence par poser que les fournisseurs de service de la société de l'information ne sont en principe pas "responsables" du simple transport, de la mise en cache ou de l'hébergement de contenus illicites<\/span>\ud83d\udcce<\/span>142<\/a><\/sup>DSA, art. 4, 5 et 6.<\/span>. L'on retrouve ici la traditionnelle distinction entre l'éditeur et l'hébergeur d'un contenu, le second n'étant en principe pas responsable en raison de celui-ci<\/span>\ud83d\udcce<\/span>143<\/a><\/sup>Pour une présentation des obligations de vigilance des opérateurs assujettis au DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Ces mêmes opérateurs n'ont en outre aucune obligation générale de "surveillance ou de recherche active de faits" illicites<\/span>\ud83d\udcce<\/span>144<\/a><\/sup>DSA, art. 8 : "Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales.".<\/span>. <\/span><\/p>\n

Toutefois, à partir du moment où l'opérateur assujetti acquiert la connaissance de l'existence d'un contenu illicite, par une injonction d'agir émanant des autorités publiques<\/span>\ud83d\udcce<\/span>145<\/a><\/sup>DSA, art. 9.<\/span> ou par une notification émanant de toute personne<\/span>\ud83d\udcce<\/span>146<\/a><\/sup>DSA, art. 16.<\/span> ou d'un signaleur de confiance<\/span>\ud83d\udcce<\/span>147<\/a><\/sup>DSA, art. 22.<\/span>, il perd le bénéfice de cette exemption de responsabilité et a l'obligation d'agir sur le contenu en cause<\/span>\ud83d\udcce<\/span>148<\/a><\/sup>Pour une présentation complète et détaillée des obligations des opérateurs numériques en lien avec le DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Le déclenchement de son obligation d'agir est ainsi conditionnée à son information préalable, par un tiers, de l'existence d'un contenu illicite. En revanche, le fait pour l'opérateur de procéder "de [sa] propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires" ou de prendre "d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible" ne lui fait pas perdre le bénéfice des exemptions précitées et ne déclenche pas d'obligation d'action<\/span>\ud83d\udcce<\/span>149<\/a><\/sup>DSA, art. 7 : "Les fournisseurs de services intermédiaires ne doivent pas être réputés inéligibles aux exemptions de responsabilité prévues aux articles 4, 5 et 6 du simple fait qu’ils procèdent de leur propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires ou prennent d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible, ou qu’ils prennent les mesures nécessaires pour se conformer aux exigences du droit de l’Union et du droit national conforme au droit de l’Union, y compris les exigences énoncées dans le présent règlement.".<\/span>. <\/span><\/p>\n

 <\/p>\n

39. <\/strong><\/span>L'enjeu majeur de la charge de prouver l'existence de la situation déclenchant l'obligation de résultat <\/strong><\/em>\ud83c\udfafLorsque la situation est constituée, par exemple lorsque l'information est connue, lorsque la sanction est prononcée, l'obligation de compliance est de résultat : l'entreprise doit transmettre l'information ou au contraire ne pas la communiquer, l'établissement doit geler les avoirs. Mais la question est de savoir qui doit prouver l'existence même de cette situation qui déclenche l'obligation de résultat : est-ce celui qui doit agir (transmettre l'information, rendre indisponible l'information, rendre l'indisponible l'avoir, etc.) ou est-ce celui qui veut bénéficier de l'exécution de l'obligation de résultat ? Par exemple l'Autorité de régulation, ou une partie prenante ? Est-ce à eux de démontrer que celui qu'ils désignent comme assujetti à cette obligation était bien dans la situation qui le contraignait ? Ou doit-on considérer que c'est encore à l'entreprise de démontrer qu'elle était dans la situation requise pour agir (et geler par exemple un avoir) ou pour ne pas agir (et par exemple ne transmettre une information car les éléments constituant un soupçon n'étaient pas réunis) ?.<\/p>\n

Parce que nous sommes dans un système libéral, c'est à celui qui prétend que l'entreprise aurait dû agir ou aurait dû ne pas agir de démontrer qu'elle était dans une situation qui avait engendré son obligation (par exemple un fonctionnement objectivement anormal d'un compte bancaire, obligeant l'établissement à opérer des contrôles et à transmettre des informations sur les personnes).<\/p>\n

Parce que les charges de preuve ne sont pas si tranchées en pratique, les entreprises doivent toujours préconstituer la preuve de leurs diligences dans le contrôle des situations dans lesquelles elles sont impliquées (flux d'argent, gestion d'infrastructure impliquant les personnes et la nature) même si la charge de preuve ne leur incombe pas car dans un débat autour d'une Obligation de  Compliance qui se traduit par une action en continu la passivité probatoire n'est pas pour autant adéquate.<\/p>\n

 <\/p>\n

B. LES EFFETS ATTENDUS DU FONCTIONNEMENT DE LA STRUCTURE DE COMPLIANCE, CONSTITUTIFS D'OBLIGATIONS DE MOYENS <\/strong><\/span><\/p>\n

40. <\/span>De Droit, tout ce qui n'est pas une obligation de résultat doit recevoir le statut d'une obligation de moyens <\/em><\/strong>\ud83c\udfafDans un Etat de Droit fondé sur la liberté des personnes, tout ce qui n'est pas une action précise expressément exigée par la loi à la charge des personnes assujetties mais relève d'une mission générale doit être qualifiée d'une obligation de moyens. Cela implique que le fait de ne pas atteindre le résultat immédiatement ne constitue pas un manquement avéré à la prescription légale, la responsabilité de l'assujetti à la loi supposant la démonstration d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

41. <\/strong><\/span>La notion de "diligence raisonnable", expression même de l'obligation de moyens : la CS3D, pointe avancée de l'Obligation de Compliance <\/strong><\/em>\ud83c\udfafLa directive du 13 juin 2024 sur le devoir de vigilance demande aux entreprises assujetties de faire preuve de "diligences raisonnables". Cela suppose qu'au-delà de la mise en place des structures mêmes de compliance, par exemple un plan ou un système d'alerte, et de certaines façons de faire expressément visées, comme la concertation ou la formation, elles doivent agir pour viser à obtenir les effets attendus par le législateur.  Ce dispositif qui consiste à attendre des entreprises des actions qui engendrent des effets orientés vers les buts visés par le législateur lui-même, qui est la ratio legis <\/em>du devoir de vigilance et en fait la "pointe avancée" du Droit de la compliance150<\/a><\/sup>sur le fait que le devoir de vigilance est la "pointe avancée" du Droit de la Compliance, v. mafr....<\/span>, peut donc être généralisé à toutes les obligations de compliance qui ne relèvent pas des 3 catégories d'obligations de résultat précédemment décrites151<\/a><\/sup>Les obligations de résultat de plano <\/em>visant à mettre en place la structure de compliance (n°00), les obligations de résultat secondaire visant à organiser la construction ou le fonctionnement de cette structure (n°00), les obligations de résultat conditionnées qui ne se déclenchent que lorsqu'une situation particulière apparaît (n°00).<\/span>.<\/p>\n

 <\/p>\n

42. <\/strong><\/span>L'exemple de l'obligation de formation <\/strong><\/em>\ud83c\udfafLa formation est une obligation essentielle engendrée par le Droit de la Compliance152<\/a><\/sup>mafr, La formation, contenant et contenu...., in ....<\/span>. Dans sa part de structure, c'est-à-dire son organisation matérielle, la présence d'enseignants, la tenue des cours, le nombre d'heures, la sollicitation d'apprenants visés, l'existence de contrôles, etc., il s'agit d'une obligation de résultat. Mais quant à savoir si ceux-ci ont compris ce qui leur a inculqué, ce qui relève de l'efficacité, cela ne peut plus qu'être une obligation de moyens. Quant au bénéfice sur l'ensemble du système, pour accroître la probité générale ou la protection de l'écosystème sur lequel chacun doit veiller, cela relève plus encore de l'obligation de moyens. Cette articulation a des effets sur l'organisation probatoire car les moyens de preuve sont ici plus aisés pour satisfaire l'obligation de résultat que pour satisfaire l'obligation de moyens153<\/a><\/sup>pour plus de développement, mafr, l'entreprise, la preuve, ....<\/span>. Elle en a aussi sur la sanction d'une inexécution car la responsabilité de l'entreprise est engagée si elle n'a pas mis en place les formations mais elle ne l'est pas si les personnes présentes n'ont pas compris.<\/p>\n

 <\/p>\n

43. <\/strong><\/span>L'organisation libre des outils essentiels pour remplir son Obligation de Compliance: exemples de l'enquêtes interne <\/strong><\/em>\ud83c\udfafParce que les obligations ne résultat ne concernent que la mise en place des structures de compliance, les obligations secondaires de leur fonctionnaire et les conséquences mécaniques de l'apparition de certaines situations154<\/a><\/sup>Sur ces trois sortes d'obligations de résultat, v.supra <\/em>n°00 et s., n°00 et s. et n°00 et s.<\/span>, les entreprises choisissent la façon dont ces plans, programmes, audit, formations, évaluations, etc., doivent être organisés. Cette liberté est la corrélation de l'obligation de moyens qu'est la leur. Est exemplaire de cela la technique de l'enquête interne155<\/a><\/sup>Ainsi l'enquête interne n'est pas l'objet d'une obligation de compliance à proprement parler. C'est un moyen spontanément mis en place par les entreprises pour satisfaire son obligation de compliance, par exemple de lutte contre la corruption. Pour une description de son usage dans un groupe international, v. par ex. O. ..., in <\/em>mafr, Compliance et droit de la défense..., <\/em>2024.<\/span>.  Celle-ci est organisée librement par les entreprises et si celles-ci doivent être améliorées, comme les informations qui en résultent doivent être mieux protégées156<\/a><\/sup>Sur l'ensemble de ces questions qui sont avant tout des questions probatoires, impliquant directement les droits de la défense, v. <\/span>,<\/p>\n

 <\/p>\n

44. <\/strong><\/span>La référence majeure au droit commun de la responsabilité <\/strong><\/em>\ud83c\udfafAinsi, dès l'instant qu'on ne se trouve pas dans une obligation structurelle visée par la loi (établissement d'un plan, d'un système d'alerte, etc.), comme le dit expressément la loi du 23 mars 2017sur le devoir de vigilance et comme cela doit s'appliquer pour toutes les manifestations techniques de l'Obligations de Compliance, les conditions du droit commun de la responsabilité s'appliquent : une faute ou une négligence doit être relevée pour que la responsabilité soit engagée. Une fois la structure de compliance est mise en place, l'on ne peut demander qu'ici et maintenant le but soit atteint. L'on peut demander que des diligences raisonnables soient accomplies, cela et pas plus que cela. Comme la structure de compliance et son fonctionnement ne prennent sens qu'au regard des Buts Monumentaux pour la concrétisation desquels tous ces dispositifs systémiques ont été mis en place, il faut que ces diligences produisent des effets qui concrétisent au fur et à mesure du temps des effets qui donnent une crédibilité à une trajectoire qui relie en probabilité la structure mise en place et l'ambition exprimée<\/strong> (probité ancrée ; équilibre climatique assuré, égalité atteinte,  etc.).  Ce point sera développé par la suite157<\/a><\/sup>III. B. (mettre le titre) ; n°00 et s.<\/span>.<\/p>\n

Il résulte de ce système de compliance que l'obligation première des entreprises est donc de nature probatoire et tient dans le dessin qui se trace au jour le jour de cette trajectoire entre la structure mise en place et ces Buts Monumentaux. Si les entreprises maîtrisent les contours de cette obligatoire probatoire, elles maîtriseront mieux en conséquence la responsabilité Ex Ante qui leur incombe en évitant la responsabilité Ex Post démesurée que certains voudront voir fondre sur elles.<\/p>\n

5III.L'APPRÉCIATION DU COMPORTEMENT DES ENTREPRISES ASSUJETTIES DANS L'EXÉCUTION DE LEUR OBLIGATION DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

45. (annonce de plan)<\/strong><\/span>  <\/strong><\/em>\ud83c\udfaf L’étude des multiples obligations de compliance exposée ci-avant permet de faire ressortir des traits communs à celles-ci, permettant de cerner l’Obligation de Compliance. Il en résulte que celle-ci est en premier lieu une obligation probatoire mise à la charge des entreprises assujetties (A<\/strong>). Cela ne signifie pas qu’elle serait purement « formelle ». Cela signifie qu’elle impose à l’entreprise d’être en mesure de prouver qu’elle a mis en place les structures de Compliance exigées par la Loi et qu’elle a fait ses meilleurs efforts pour obtenir les comportements recherchés. Cela a des conséquences directes sur la responsabilité des entreprises assujetties (B<\/strong>).<\/span><\/p>\n

 <\/p>\n

46. <\/strong><\/span>Le plus important : les obligations de moyens et non les obligations de résultat   <\/strong><\/em>\ud83c\udfafLes multiples obligations de résultat qui sont imposées par les textes pour mettre en place les structures de compliance et les faires fonctionner n'ont de sens que pour obtenir des effets, et notamment des comportements, qui soient efficaces et efficients au regard des Buts Monumentaux de la Compliance : éradiquer le blanchiment, rééquilibrer le climat, instaurer l'égalité entre les êtres humains, etc. Ce chemin, cette trajectoire, entre les structures mises en place (plan, programme, alerte, évaluation, etc.) et ces ambitions, est jalonnés d'obligations qui ne peuvent être que des obligations de moyens mais ce sont ces obligations de moyens qui sont les plus importantes puisque ce sont elles qui portent les changement (la baisse de la criminalité systémique sous-jacente au blanchiment, la fin des harcèlements, le respect de la vérité et des êtres humains, la reconnaissance de ce que la nature nous apporte).  C'est donc ces obligations-la, obligations de moyens, qui sont les plus importantes. Les obligations de résultat n'existent que pour que les obligations de moyens puissent exister à leur tour.<\/p>\n

 <\/p>\n

A. L'OBLIGATION DE COMPLIANCE, AVANT TOUT UNE OBLIGATION PROBATOIRE À LA CHARGE DES ENTREPRISES ASSUJETTIES PAR LA LOI<\/span><\/strong><\/p>\n

47. <\/strong><\/span>L'obligation de compliance : essentiellement une obligation probatoire  <\/strong><\/em>\ud83c\udfafL'Obligation de Compliance est donc avant tout une obligation probatoire. Quelque soit sa place processuelle, l'entreprise doit montrer qu'elle a mis en place de plano <\/em>la structure de compliance que lui impose les lois et réglementation ainsi que les mécanismes qu'au sein de celle-ci ces mêmes sources prévoient. De la même façon, parce que l'entreprise est assujettie à l'Obligation de Compliance, qui s'illustre ensuite dans une multitude d'obligations techniques, de diverses natures (légales, contractuelles, éthiques, etc.) l'entreprise doit montrer qu'elle existent l'obligation de moyens qui lui fait aller de cette obligation de résultat de mise en place de la structure de compliance à l'accomplissement des buts monumentaux fixés par le législateur (au sens formel).<\/p>\n

Mais la difficulté en est grave car l'essentiel est bien la réalisation des Buts Monumentaux, c'est-à-dire le futur, ce qui constitue un objet probatoire à première vue inaccessible (1<\/strong><\/span>) ; c'est pourquoi l'objet de preuve ne peut être la concrétisation des Buts Monumentaux mais la crédibilité de leur atteindre (2<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Une obligation probatoire e difficile à satisfaire <\/strong><\/span><\/p>\n

 <\/p>\n

48. <\/strong><\/span>Une obligation probatoire délicate : comment prouver l'efficacité d'une structure ?   <\/strong><\/em>\ud83c\udfafCela est assez aisé pour l'entreprise lorsqu'il s'agit d'une obligation de résultat. Par exemple, elle produira le plan publié, la cartographie des risques établie, les évaluations menées. Mais cela est beaucoup plus difficile pour les obligations de moyens. Tout d'abord, l'entreprise doit prouver que par la structure mise en place elle a obtenu des effets, c'est-à-dire prouver l'efficacité des structures. L'exemple a été pris de la formation qui non seulement doit se tenir (résultat) mais encore doit apprendre aux personnes à avoir un comportement adéquat. C'est au sein même des entreprises que l'apprentissage probatoire doit se faire car c'est ensuite à travers ceux qui ont appris ceux qui ont mis en place la structure d'apprentissage que l'on juge.<\/p>\n

Cela est d'autant plus difficile qu'une partie ne pouvant se prévaloir de preuves qu'elle s'est fabriquée seule à son bénéfice158<\/a><\/sup>Sur cette difficulté probatoire pour l'entreprise de ne pouvoir se fabriquer des preuves alors que l'objet de preuve qui lui est imposé est l'efficacité de son propre comportement, v. Thibaud Goujon-Béthan (on va voir quel article mettre....).<\/span>, l'entreprise doit toujours procéduraliser l'établissement de ses preuves, recourant notamment à des tiers de confiance, ce qui contribue à la constitution d'un "marché" florissant de la compliance et à la multiplication de ces obligations.<\/p>\n

 <\/p>\n

49. <\/strong><\/span>Un objet probatoire inatteignable : comment prouver demain ? Les engagements comme solution procédurale alternative   <\/strong><\/em>\ud83c\udfafL'obligation probatoire paraît insupportable lorsqu'on prétend exiger de l'entreprise qu'elle ait l'obligation de prouver ici et maintenant que demain elle aura atteint les Buts Monumentaux pour la réalisation desquels on lui impose ce carrousel d'obligations de compliance. Car l'on ne peut pas connaître demain et l'on ne peut pas apporter une telle preuve. L'on ne peut qu'affirmer qu'on fera tout pour : cela existe qu'actuellement les "engagements" tendent à remplacer les preuves parce qu'un engagement peut porter sur le futur, ce que ne peut faire une preuve. <\/p>\n

Mais l'engagement comporte lui-même ses limites, notamment en ce qu'il est distinct du contrat159<\/a><\/sup>mafr, Engagement, ..., in L'obligation de compliance<\/span>. C'est pourquoi il n'est inséré comme remède qu'à travers un autre outil, soit un contrat en bonne et due forme160<\/a><\/sup>mafr (dir.), Compliance et contrat<\/em>, 2025.<\/span>, soit comme mode alternative des poursuites, la CJIP ou la CRPC étant un engagement de compliance qui remplace alors la preuve et prend directement prise sur le futur. <\/p>\n

 <\/p>\n

50. <\/strong><\/span>Le déplacement d'objet de preuve : prouver que l'entreprise fera effectivement demain ce que ses représentants disent aujourd'hui   <\/strong><\/em>\ud83c\udfafCela produit alors un déplacement d'objet de preuve : l'entreprise doit prouver qu'elle fera bien demain ce qu'elle dit qu'elle fera. Il y a de multiples moyens pour satisfaire une telle charge de preuve. L'on peut se suffire de l'éthique. Ou de la pression des marchés, si l'entreprise y est exposée, ou des investisseurs et prêteurs, si l'entreprise y est exposée, ou de l'opinion publique, si l'entreprise y est exposée et sensible. <\/p>\n

Si l'on ne s'en contente pas, il faudra que les engagements prennent une forme plus juridique, c'est-à-dire celle du contrat, l'arbitrage international pouvant ici prendre une place essentielle161<\/a><\/sup>E. Silva-Romero, article à venir, in L'obligation de compliance.<\/span>. L'insertion de tiers de confiance, de moniteurs notamment, va également dans ce sens. L'externalisation d'un budget ad hoc <\/em>est aussi un moyen de prouver que cela sera fait. Le croisement des deux, c'est-à-dire un budget par avance à un tiers peut relever d'une technique probante.<\/p>\n

Si les tiers qui sont donc présents en permanence dans le futur sont désignés par un juge, cela mettra en continuum l'obligation probatoire, reflet de l'Obligation de Compliance qui elle-même est en continuum  puisqu'elle a pour objet : cela est logique, puisque la première est au cœur de la seconde. Cela conforte l'obligation managériale pour les entreprises de constituer en continu le dossier probatoire de leurs diligences, les mises en cause judiciaire n'étant pas des à-coup mais une pointe dans cette culture probatoire usuelle à développer162<\/a><\/sup>dans ce sens, mafr, preuve..., in La juridictionnalisation....<\/span>.<\/p>\n

 <\/p>\n

2. La constitution d'une preuve d'une trajectoire crédible dans les effets produits par la structure de compliance au regard des buts poursuivis par le Législateur<\/strong><\/span><\/p>\n

51. <\/strong><\/span>La trajectoire, objet central de l'obligation probatoire    <\/strong><\/em>\ud83c\udfafComme l'a affirmé le Conseil d'\u00c9tat dans ses arrêts Grande-Synthe <\/em>et le Tribunal administratif de Paris dans son jugement …, l'assujetti doit montrer que la structure et les comportements passés et présents attestent d'une "trajectoire" qui permet de penser que, sauf événement contraire que nul ne peut évoquer sans preuve (par exemple la faillite de l'entreprise), le déroulement du temps futur amènera aux finalités visées au départ. La trajectoire, indissociable de la technique du plan, replace le juge dans une position Ex Ante ; <\/em>cela explique notamment pourquoi le juge des procédures collectives est par nature familier du Droit de la Compliance, puisqu'il manie les plans, les engagements et les trajectoires dans la perspective d'un objectif de redressement163<\/a><\/sup>V. dans ce sens J.-B. Barbieri, .., in L'obligation de compliance<\/span>. <\/p>\n

 <\/p>\n

52. <\/strong><\/span>La crédibilité de la trajectoire, objet d'un faisceau d'indices    <\/strong><\/em>\ud83c\udfafC'est à l'entreprise de montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets qui, par le développements du temps et parce que l'entreprise ne changera pas sa stratégie, permet d'atteindre les objectifs. Cette crédibilité doit être produite par tous les éléments probants que l'entreprise doit ou peut constituer (elle peut en effet être empêcher de les constituer, notamment parce que des informations sont interdites à l'accès ou à la production). A cela s'ajoute le pouvoir d'instruction des juges, qui peuvent nommer des experts ou recourir à des amici curiae.<\/em><\/p>\n

 <\/p>\n

53. <\/strong><\/span>Le "raisonnable", pendant du "crédible"    <\/strong><\/em>\ud83c\udfafL'appréciation qui est faite de cette crédibilité par les parties prenantes et in fine <\/em>par le juge doit être raisonnable. Par exemple il est raisonnable de penser que l'entreprise ne changera pas sa stratégie. La notion de "raisonnable" 164<\/a><\/sup>Perelman, Le raisonnable .... <\/em>Sur la notion de "raisonnable" et de "déraisonnable", voir à la suite de travaux de Perelman les travaux du centre de logique de Bruxelles....

\r\n\r\nV. aussi sous l'angle plus particulièrement probatoire, du même centre, La preuve....<\/em><\/span> <\/strong>est centrale dans la conception que Perelman a de l'office du juge qui statue selon des standards et éprouve les affirmations d'une façon raisonnable en présence de divers cercles d'auditoires, ce qui correspond ici aux différents cercles de parties prenantes auxquelles l'entreprise rend des comptes165<\/a><\/sup>mafr, L'obligation processuelle, prototype de l'obligation de compliance, in L'obligation de compliance.<\/span>.. <\/p>\n

 <\/p>\n

54. <\/strong><\/span>Renversement possible de la preuve, si la preuve est apportée du caractère non-crédible de la trajectoire    <\/strong><\/em>\ud83c\udfafUne fois cela établi, et établi en continu, l'entreprise donnant à savoir sa structure de compliance et la trajectoire concrétisée par les effets produits par celle-ci, notamment dans les comportements engendrés, doit montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets, elle a satisfait sa charge de preuve.<\/p>\n

C'est alors aux personnes qui n'en sont pas satisfait d'alléguer que l'Obligation de Compliance n'a pas été exécutée. Par exemple qu'un plan n'a pas été adopté. Ou qu'une trajectoire n'est pas crédible. La charge de prouver cela repose que la personne qui formule une telle allégation. Si des faits alimentent une telle allégation, alors la responsabilité de l'entreprise pourra être engagée.<\/p>\n

 <\/p>\n

 <\/p>\n

B. LA RESPONSABILITÉ DES ENTREPRISES ENGENDRÉE PAR L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

55. <\/strong><\/span>Une responsabilité ex ante, comme charge d'une ambition politique pour le futur  <\/strong><\/em>\ud83c\udfaf Les entreprises sont aujourd'hui, de force ou de gré en charge des grandes missions sociétales face à un avenir incertain. C'est à ce titre qu'on a pu comparaître l'Obligation de Compliance et la puissance qui en résulte166<\/a><\/sup>mafr, Concevoir le pouvoir, 2021 ; L'usage de la puissance privée pour mieux servir.., 2024.<\/span> à une délégation de la puissance publique167<\/a><\/sup>A. Rouyère, Compliance, délégation de puissance publique, 2024.<\/span>. La responsabilité est alors synonyme de pouvoir légitime\ud83d\udcce<\/span> 168<\/a><\/sup>Notamment illustrée par la Compliance environnementale, mafr, La Compliance environnementale...; la responsabilité liée à la compliance environnementale....<\/span> attachée à une situation particulière impliquant une action, et en rien à une sanction, qui interviendra au regard du passé, alors qu'il s'agissait de prendre en charge une façon d'agir pour faire en sorte que l'avenir, qui est l'objet du Droit de la Compliance, soit selon une volonté précédemment exprimée169<\/a><\/sup>sur cette idée même de responsabilité ex ante, mafr, La responsabilité ex ante, pilier du Droit de la Compliance, 2022 ; sur la place des volontés dans l'élaboration de l'Obligation de Compliance, mafr, Le calcul, le coeur, ... ; Volonté sur volonté vaut ..., in L'obligation de compliance <\/em>, 2024.<\/span>. Mais lorsqu'une personne demande l'engagement de la responsabilité d'une entreprise devant un juge170<\/a><\/sup>Sur l'aptitude à demander l'engagement d'une telle responsabilité, v. mafr, Obligation processuelle.....<\/span>, il faut qu'elle apporte la preuve d'une violation d'une obligation de compliance.<\/p>\n

 <\/p>\n

1. La responsabilité civile engagée en cas de l'absence de structures mises en place ou de structures inaptes à engendrer tout effet crédible au regard des buts monumentaux visés par la loi<\/strong><\/span><\/p>\n

56. <\/strong><\/span>Avant tout comportement, une responsabilité retenue  ex ante en l'absence de structure de compliance crédible  <\/strong><\/em>\ud83c\udfaf S'il apparaît que l'entreprise n'a pas mis en place l'un des éléments structurels de l'obligation de compliance, qui sont pourtant autant pour elle autant d'obligations de résultat auxquelles les textes l'assujettissent, sa responsabilité sera engagée. Cela sera d'autant plus aisée que les textes prévoient souvent précisément les modalités, notamment les délais (par exemple concernant le plan de vigilance), la crédibilité et le caractère raisonnable des diligences dans cette mise en place étant appréciés selon les standards usuels.<\/p>\n

 <\/p>\n

2. <\/strong>La démonstration nécessaire d'une faute ou la négligence pour engager la responsabilité de l'assujetti à une obligation qui demeure par principe une obligation de moyens<\/strong><\/em><\/span><\/p>\n

57. <\/strong><\/span>La nécessité d'un fait générateur <\/strong><\/em>\ud83c\udfaf Si la structure de compliance a été mise en place, et les obligations de résultat qui l'entourent accomplies171<\/a><\/sup>V. supra <\/em>n°00 et s.<\/span>, et qu'une trajectoire crédible se déploie au regard des Buts Monumentaux de la Compliance (la crédibilité étant une forme de preuve172<\/a><\/sup>V.supra <\/em>n°00  et s.<\/span>) alors la responsabilité de l'entreprise ne peut pas être engagée faute de fait générateur. Pour qu'elle ne soit, il faut que celui qui l'allègue apporte la preuve d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

58. <\/strong><\/span>L'absence de responsabilité spéciale <\/strong><\/em>\ud83c\udfaf En cela, et comme le rappelle expressément la loi de 2017 sur le devoir de vigilance, ce à quoi la Directive du 13 juin 2024 ne déroge pas, la responsabilité qui peut frapper l'assujetti relève du droit commun de la responsabilité. Il ne suffit pas qu'existe une obligation spéciale de compliance, qui consiste donc pour certaines personnes juridiques173<\/a><\/sup>par exemple les entreprises bancaires, financières, énergétiques, numériques, etc. Voir à ce propos (mettre les contributions sur les opérateurs sectoriels), in L'obligation de compliance.<\/em><\/span>, que cela engendre pour autant une responsabilité spéciale. Une responsabilité spéciale se caractérise par un régime spéciale. S'il fallait qu'à chaque obligation spéciale (il y a des centaines) soit attachée une responsabilité spéciale, le droit commun de la responsabilité n'existerait plus174<\/a><\/sup>Sur la défense de l'idée même d'un "principe général", v; G. Viney (in Mélanges Catala)<\/span>.<\/p>\n

 <\/p>\n

59. <\/strong><\/span>Conclusion<\/strong>. L'Obligation de Compliance, obligation unifiée et spéciale <\/strong><\/em>\ud83c\udfaf Il apparait ainsi que certains sujets sont, de par leur position, c'est-à-dire leur puissance, leurs informations, leurs technologies, leur implantation, soumis à une Obligation de Compliance qui consiste toujours à construire une structure de compliance produisant des effets crédibles au regard des buts monumentaux visés par le Législateur.<\/p>\n

Cet article dit ce qu'est l'Obligation de Compliance des entreprises. Plongeant dans la masse des très obligations de compliance, il prend comme méthode de classement celles qui relèvent d'une obligation de résultat et celles qui relèvent d'une obligation de moyen. Il justifie le choix de ce critère essentiel, qui change les objets et la charge de preuve des entreprises qui sont assujetties à une obligation de résultat lorsqu'il s'agit de mettre en place des "structures de compliance" et sont assujetties à une obligations de moyens quant au effets produits par ces structures de compliance. Puis dans un deuxième temps l'article analyse une à une les corpus ("Sapins 2", "Vigilance", CSRD, DSA, NIS2, DMA, DORA,AML-FT, Avoir des avoirs,….) et les obligations techniques de compliance qu'elles imposent pour les répartir selon les textes en obligations de résultat ou en obligation de moyens1<\/a><\/sup>Le présent document de travail reproduit d'une façon exhaustive les dispositions des règlements, directives, règlements et autres corpus contraignants, ce qui permet au lecteur d'avoir à sa disposition les textes précis visés. Ces textes ainsi reproduits ne figureront pas dans l'article publié dans l'ouvrage L'obligation de compliance.<\/em>

\r\n\r\n <\/span>. Ce  tableau du droit positif ainsi dressé, renvoi étant fait à tous les articles des textes2<\/a><\/sup>Ce travail très important et très précieux pour toutes les personnes impliquées dans l'élaboration et la mise en oeuvre des Outils de compliance, ainsi que les contentieux systémiques qui en naissent, n'a été possible que grâce au travail d'Alex Nicollet, junior editor <\/em>du Journal of Regulation & Compliance (JoRC)<\/em> qui a procédé à la recherche systématique dans tous les corpus de Compliance et à leur classement au regard des différents types d'obligations de compliance requises. Qu'il en soit ici vivement remercié.<\/span> permet de montrer qu'en droit positif l'Obligation de Compliance a avant tout une dimension probatoire, ce qui est développée dans le troisième temps de l'article : l'entreprise doit montrer qu'elle a mis en place les structures de compliance (obligations de résultat) requises par les textes et c'est aux tiers qui lui reprochent les effets insatisfaisants que ces structures auraient selon elles produits) de démontrer qu'il y a de la part de l'entreprise une faute ou une négligence (obligation de moyen). <\/p>\n

1. <\/strong><\/span>Besoin de clarté et simplicité de l'Obligation de Compliance<\/strong><\/span><\/em> \ud83c\udfaf Des entreprises sont assujetties à une Obligation de Compliance. L'on peut se demander pourquoi celles-ci (les grandes) et non pas une autre catégorie, voire pourquoi pas toutes les entreprises, voire pourquoi pas tout le monde. L'on peut se demander pourquoi les entreprises qui ne sont pas sujets du système juridique dans lequel l'obligation a été émise y sont pourtant astreintes. L'on peut se demander pourquoi on les oblige à faire ceci ou à faire cela, et pas on ne les oblige pas à d'autres choses, puisqu'il est d'une façon générale important que les règles soient effectives. Parce qu'on ne comprend pas les contours de cette Obligation de compliance, l'observateur soupçonne l'arbitraire, la prise de pouvoir, une sorte de guerre, d'affrontement qui parait d'autant plus sans "foi ni loi". Cela serait d'autant plus inadmissible d'y être "obligé" que cette contrainte confuse prend forme juridique. De tout cela, on discute, souvent avec véhémence, dans un sens ou dans un autre,  le spectre des positions étant très large : certains  affirment qu'il devrait y avoir une Obligation de Compliance plus impérieuse, avec des sanctions colossales et des obligations de faire sur les Etats eux-mêmes, d'autres soutenant qu'il ne faudrait aucune obligation, seule l'éthique pouvant être admise.<\/p>\n

Il apparait que toutes ces discussions n'ont le pied sûr  que si l'Obligation de Compliance est définie.<\/p>\n

De l'examen de tout le droit positif qui s'applique à tant d'obligations éparpillées qui sont reconnues comme étant des "obligations de compliance", nommées expressément ainsi, et dont la nomenclature sera dressée plus loin3<\/a><\/sup>d'une façon analytique, I. ... ; d'une façon synthétique, II .....<\/span>,<\/strong> il se dégage ceci : l'Obligation de Compliance confie aux assujettis la construction de structures de compliance produisant des effets crédibles au regard des buts monumentaux visés par le législateur.<\/strong><\/p>\n

La présente étude a pour objet d'asseoir cette définition en la tirant directement du droit positif.<\/p>\n

En effet, cette définition rend compte de l'ensemble du droit positif. Elle permet à la fois de désigner dans une même unité tous les divers mécanismes qui sont identifiés techniquement comme relevant du Droit de la Compliance et d'exclure des obligations qui n'en relèvent pas4<\/a><\/sup>et qui relèvent simplement du fait d'obéir à la loi, d'exécuter ses engagements contractuels. Car sinon tout devient obligation de compliance, le Droit de la Compliance n'étant alors lui-même que le Droit lui-même en ce qu'il se caractérise par le fait qu'il contraint. Sur ce point de base, mafr, Le Droit de la Compliance, 2016.<\/span>.<\/p>\n

Par la suite, d'une façon secondaire donc, des disputes peuvent clairement se construire, pour contester ou approuver l'existence d'une telle Obligation, pour proposer  d'en infléchir la force ou d'en accroître la contrainte, pour proposer d'en multiplier les modalités, pour proposer d'en laisser plus ou moins la disposition aux acteurs, pour proposer d'en désigner de nouveaux sujets ou d'en soustraire des assujettis, pour proposer d'en modifier la portée, pour proposer d'en hiérarchiser ou articuler les sources, pour proposer de restreindre le nombre de celles-ci, etc.<\/p>\n

Pour proposer tout cela et ne pas s'y perdre, il faut partir d'une définition simple et nette. Or le droit positif nous la donne. La définition qui ressort du droit positif en est toujours la même : le législateur (au sens formel) requiert d'un sujet de droit qu'il mette en place ou contribue au fonctionnement d'une structure pour produire des effets, notamment des comportements, qui vont converger vers la réalisation des Buts Monumentaux que ce législateur a l'ambition d'atteindre dans des systèmes cruciaux pour le futur. <\/strong><\/p>\n

Mais, alors même que l'examen de l'ensemble du droit positif la fournit, cette définition de l'Obligation de Compliance n'est pas clairement exprimée, ni par les textes, toujours ponctuels, ni par les auteurs, souvent attachés à une obligation particulière dont ils tireront une définition générale, face à laquelle des obligations particulières différentes apporteront une dissonance, voire une contradiction, discréditant la définition générale proposée.<\/p>\n

Ainsi, partant d'un exemple particulier à une généralité affirmée, chacun ayant la sienne et ne se prévalant que d'une obligation particulière de compliance, suivant que l'on lit les uns ou les autres, il s'agirait pour les entreprises d'être obligées de donner à voir qu'elles respectent activement toutes les réglementations applicables ou bien, à l'autre bout du spectre, il s'agirait pour elles d'exercer un immense pouvoir, celui de se fixer d'une façon autonome des règles, dont elles fixeraient la teneur, la portée et les assujettis, à savoir elles-mêmes mais aussi les autres.  Ou il s'agirait de les soumettre à une obligation adossée à la force du droit pénal, ou il s'agirait de concrétiser le désir de bien faire dans un élan éthique dont elles ne répondraient qu'à l'égard de la conscience des personnes et de l'effet de réputation.<\/p>\n

Faute de pouvoir s'entendre, l'on finit par dire qu'il y aurait autant de définitions que de cas, qu'il faudrait être "pragmatique", que tout cela est très "complexe" et que sans définition unifiée, l'on verra bien ce que le prochain juge, français, européen, américain ou autre, dira suivant le cas et son humeur. La crainte du juge en est accrue.<\/p>\n

L'espoir se tourne alors vers les algorithmes car en fournissant à la puissance algorithmiques tous les cas déjà passés et tous les jugements déjà émis par les uns et les autres, l'on pourrait par probabilité ainsi connaître la décision future. Faute de comprendre et de maîtriser l'Obligation de Compliance. Les algorithmes apparaissent alors comme seul espoir de la Compliance…, dont on aurait désespéré de comprendre quoi que ce soit.<\/p>\n

L'objet de cette étude, et de cet ouvrage, est inverse.<\/p>\n

Le Droit devant rester affaire humaine et les situations présentes et prochaines ne devant pas être produites ni seulement par les solutions passées, peut-être inadéquates, ni seulement par des projections vers le futur par le calcul probabiliste, il s'agit de clarifier et d'unifier L'Obligation de Compliance.<\/em><\/p>\n

Cela est possible. <\/p>\n

L'état actuel de confusion tient à des obstacles qui doivent tout d'abord être identifiés en prolégomènes, identification nécessaire pour dépasser ces obstacles.<\/p>\n

 <\/p>\n

 <\/p>\n

PROLÉGOMÈNES : LES OBSTACLES À UNE DÉFINITION CLAIRE ET UNIFIÉE DE L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

2. <\/strong><\/span>Première raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'état naissant du Droit de la Compliance<\/strong><\/span><\/em> \ud83c\udfaf Pour cerner, concrétiser et faire respecter l'Obligation de Compliance pesant sur les entreprises, pour maintenir l'ambition de pouvoir s'appuyer sur l'unicité de cette Obligation de Compliance afin de pouvoir  aisément en déduire son régime, il faudrait disposer d'une notion déjà solidement construite par le Droit. Mais concernant l'Obligation de Compliance, l'on ne bénéficie pas d'un tel luxe : parce que le Droit de la Compliance est encore lui-même une branche du Droit en émergence, sur la définition de laquelle les disputes se poursuivent, donnant lieu à un contentieux d'un type nouveau lui-même émergeant5<\/a><\/sup>mafr, Le contentieux systémique émergeant, 2024.<\/span>,  l'on pourrait donc qu'hésiter sur  ce qu'est l'obligation de compliance qui en découle. <\/p>\n

Or, en pratique, cela est dramatique parce que les conséquences de l'inexécution de l'Obligation de Compliance sont sévères, les entreprises assujetties protestant souvent contre le fait qu'elles ne savent pas les contours de ce à quoi elles sont obligées. Cette incertitude quant à savoir ce qu'est l'Obligation de Compliance, constatée par tous6<\/a><\/sup>Cambridge, Cambridge handbook, (citation à compléter)<\/span>, est pourtant inévitable. Elle n'est pas même un défaut, lequel serait une preuve d'une sorte de malformation : ce temps d'incertitude constitue un moment de la naissance d'une branche du Droit7<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Births of a branch of Law: Compliance Law<\/a>,<\/em> 2023.<\/span> : parce que le Droit de la Compliance est en train d'émerger, l'Obligation qu'il engendre pour les acteurs est encore incertaine. Mais plus la construction de la branche du Droit va se consolider et plus ces incertitudes vont s'estomper. Il faut un peu de patience pour que Rome se construise8<\/a><\/sup>Sur l'idée que l'écoulement du temps, notamment nécessaire à la construction de la jurisprudence, est nécessaire, est en lui-même un facteur de progrès, v. mafr, "Le devoir de vigilance : progresser", 2024.<\/span>.<\/p>\n

 <\/p>\n

3. <\/strong><\/span>Deuxième  raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des branches elles-mêmes très différentes <\/strong><\/span><\/em> \ud83c\udfaf C'est par le critère de l'assujettissement que l'on a tendance à identifier une obligation de compliance : plus la force de la contrainte est élevée et plus l'on repère un mécanisme de "compliance". C'est donc à l'impérieux Droit pénal qu'il est encore usuel de rattacher la Compliance9<\/a><\/sup>même si c'est pour s'émouvoir que ce Droit pénal qui ordonne et oblige se mâtine, voire se dénature, lorsqu'il incorpore des outils de compliance qui relèvent davantage de l'accord. Sur cette question, v.G. Boissonnie, ..., in Les buts monumentaux.... ; <\/em>La CJIP est ainsi l'objet de nombreuses interrogations,  . par ex., S. -P. Cabon, ..., in Compliance et droits de la défense, <\/em><\/span>. Mais il est aujourd'hui acquis que les obligations s'ancrent dans toutes les branches du Droit. Cela rend difficile la perspective de son unicité, dès l'instant qu'elle n'est pas enfermée dans une branche du Droit, pouvant en pratique relevant d'une juridiction précise (le juge pénal, les structures administratives répressives) et un savoir universitaire aux contours établis (notamment le droit pénal et le droit administratif, la compliance étant présentée comme une  sorte de complément qui les moderniserait).<\/p>\n

En outre, à l'intérieure de toutes les branches du droit, ce sont de multiples obligations de compliance qui sont repérables et qu'il est difficile de classer10<\/a><\/sup>C'est l'objet même de la première partie de cette étude que de les classer, afin de les maîtriser. v. n°00 et s.<\/span>. Pour prendre l'exemple d'une chaine économique d'activités, le Droit international, le Droit des contrats, le Droit des sociétés, le Droit de la concurrence et le Droit de la distribution, le Droit du travail, ont des points de contact avec les obligations de compliance qui sont engendrées, notamment par la façon dont l'entreprise donneuse d'ordre doit avoir soin de la façon dont  les personnes qui s'activent , salariés, collaborateurs, collaborateurs, fournisseurs,  etc., sont traitées tout à long de la chaîne. Cette Obligation innerve la "chaîne de valeur" (notion managériale)11<\/a><\/sup>Sur l'articulation entre les notions managériales et les notions juridiques, v. J.-Ph. Denis et N. ..., ..., et E. Maclouf, ..., in ....L'obligation de compliance, <\/em><\/span> mais les branches du Droit segmentent l'unicité à laquelle le souci de la personne exprimé par le législateur renvoie. Cela peut être certes dépassé puisque le Droit étant lui-même un système fonctionne en articulant les diverses branches12<\/a><\/sup>Sur l'articulation que l'Obligation de Compliance requiert avec les diverses branches du Droit, v. (citer les contributions de la partie de l'ouvrage à ce propos)<\/span>, mais cela constitue néanmoins un obstacle pour parvenir à une définition unique de l'Obligation de Compliance surplombant les branches du Droit13<\/a><\/sup>Comme le contrat, la propriété ou la famille y sont parvenus, ce pourquoi Carbonnier les désigna oomme les "piliers" du Droit.<\/span>.<\/p>\n

 <\/p>\n

4. <\/strong><\/span>Troisième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des secteurs très divers <\/strong><\/span><\/em>\ud83c\udfaf En outre, l'Obligation de Compliance s'adressant naturellement aux opérateurs cruciaux des secteurs régulés concerne de multiples secteurs, allant du secteur bancaire et financière où elle a pris son origine en réaction à la crise de 192914<\/a><\/sup>mafr, Compliance : hier, aujourd'hui, demain....<\/span>,  au secteur énergétique particulièrement impliqué dans le système climatique, à l'espace numérique, à l'espace spatial, etc. Or, la spécificité de chacun se traduit par des obligations qui lui sont propres et sont rappelés par chaque régulateur, par chaque spécialiste de chaque espace, de chaque organisation professionnelle. C"est sans doute l'émergence d'un "Contentieux Systémique" devant le juge de droit commun15<\/a><\/sup>mafr, Le contentieux systémique, 2024.<\/span>, qui va rapprocher tous ces secteurs en ramenant ce qui leur est commun, par exemple le souci systémique de durabilité à laquelle les entreprises ont l'obligation de moyens de contribuer16<\/a><\/sup>V. les articles précurseurs de François Ancel : ..., in La juridictionnalisation de la compliance,<\/em>2023 ; ...,<\/em>in De la régulation à la compliance: quel rôle pour le juge ?<\/em> 2024.<\/span>.<\/p>\n

 <\/p>\n

5. <\/strong><\/span>Quatrième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> les très nombreuses obligations de compliance logées dans des réglementations qui s'éloignent les unes des autres <\/strong><\/span><\/em>\ud83c\udfaf Liée aux 3 phénomènes précédents, sont apparus des spécialistes, des articles, des ouvrages et des manifestations, liés à une seule réglementation, détaillant celle-ci et n'évoquant pas les autres. Cela est logique en ce que chaque réglementation, terme qui embrasse toute une variété de textes de différentes portée, contient à elle-seule de nombreuses obligations de compliance, déjà difficiles à mémoriser, à comprendre et à articuler entre elles. La finesse des descriptions et des analyses des solutions, souvent menées dans l'ignorance des analyses des solutions retenues pour les obligations, pourtant analogues, contenues dans d'autres réglementations, rend ainsi paradoxalement de plus en plus difficile à maîtriser un ensemble de réglementations qui deviennent de plus en plus autonomes les unes des autres. Ainsi plus on devient savant et plus on devient ignorant, paradoxe de la spécialisation.<\/p>\n

L'expertise croissante développée à propos de chaque réglementation rend donc de plus en plus difficile l'émission d'une Obligation de Compliance. L'érudition sur les obligations de compliance, grandement facilitée par les recherches par algorithmes, est une force centrifuge qui rend l'Obligation de Compliance de plus en plus difficile à maîtriser. Sauf à tout abandonner aux algorithmes.<\/p>\n

 <\/p>\n

6. <\/strong><\/span>Cinquième raison pour laquelle la clarté et la simplicité de l'Obligation de Compliance n'est pas perçue :<\/strong><\/span><\/em> l'absence de distinction première entre les obligations qui sont sanctionnées par le seul fait que l'assujetti n'a pas atteint le résultat et les obligations qui ne contraignent qu'à un effort accompli au regard d'un but fixé  <\/strong><\/span><\/em>\ud83c\udfaf Mais la cinquième raison constitue le plus grand obstacle.  En effet, lorsqu'on passe d'une obligation de compliance à une autre, on a l'impression qu'elles n'ont rien en commun. Parfois, certaines expriment une exigence telle que le seul fait pour l'assujetti de n'avoir pas obtenu le résultat demandé entraine sa condamnation. Parfois, d'autres obligations se contentent de requérir de l'assujetti de faire au mieux. Comment dès lors trouver une unicité dans cela ? Comment trouver un terrain d'entente entre ceux qui, voulant soumettre les entreprises auxquelles  confiance n'est pas donnée, se prévalent toujours des exemples du premier type d'obligations, et ceux qui, rappelant que les entreprises ne peuvent pas tout, s'appuient sur les textes qui n'obligent celles-ci qu'à des diligences ? <\/p>\n

L'on finit par se dire que le droit positif est bien mal fait… et que demain il aura, par la sagesse du temps, résolu tout seul tous ces obstacles17<\/a><\/sup>Sur l'idée comme quoi il y aurait une "immaturité" (et qu'il faut donc attendre), v. Ch. Maubernard, .Le devoir de vigilance..., <\/em>2024.<\/span>. Mais précisément c'est ici et maintenant que nous avons besoin d'une définition claire et unifiée de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

7. <\/strong><\/span>Nécessité pratique de surmonter ici et maintenant ces obstacles pour définir l'Obligation de Compliance <\/em><\/strong><\/span>\ud83c\udfaf En pratique, l'on ne peut pourtant se contenter d'attendre ces lendemains meilleurs où l'on se sera accordé sur les définitions de base. Justement parce que la Compliance oblige, et considérablement, les entreprise. Or, être obligé mais ne pas savoir exactement à quoi, n'est-ce pas dramatique ? <\/p>\n

Parce qu'on ne peut donc en pratique attendre que la branche du Droit ait trouvé sa maturité, même si l'on doit tout faire pour aider à cela en produire en pratique la sécurité requise18<\/a><\/sup>Voir par exemple à propos de la Vigilance, pointe avancée de la Compliance, mafr, "Vigilance : progresser", 2024.<\/span>, il faut s'efforcer de passer ces obstacles qui peuvent certes être le résultat de stratégies dolosives des divers acteurs concernés (les États, les entreprises, les parties prenantes, etc.) mais qui tiennent le plus souvent à la nature des choses (temps, structures économiques et juridiques), Il faut plutôt faire confiance au droit positif, déjà si fourni qu'on le présente sous l'expression péjorative de "masse réglementaire" mais qui recèle des lignes de force, pour dégager l'esprit qui l'anime. Car un Droit sans âme, cela n'existe pas tant que ce sont des êtres humains qui l'écriront19<\/a><\/sup>J.-L. Halperin, Une histoire des droits dans le monde <\/em>, 2024, notamment l'introduction qui développe <\/span>.<\/p>\n

 <\/p>\n

8. <\/strong><\/span>Partir des régimes déjà développés pour dégager l'unicité et la simplicité de l'Obligation de Compliance, obligation d'un nouveau type<\/em>. Plan.<\/strong><\/span> \ud83c\udfaf Pour cela il est ici proposé de partir des régimes que l'on peut observer en droit positif, en se penchant plus particulièrement  sur le couple familier du Droit des obligations : "obligation de moyens \/ obligation de résultat", appliqué ici à l'obligation légale et parfois à l'obligation contractuelle (I<\/strong><\/span>). Si l'on scrute les textes et les jurisprudences, il apparaît que les diverses obligations sont tantôt de moyens et tantôt de résultat, suivant qu'elles sont comportementales ou structurelles, ne pouvant qu'être de moyens dès l'instant qu'il s'agit pour l'assujetti de tendre vers la réalisation des buts monumentaux pour lesquels l'obligation a été édictée, l'obligation probatoire d'une trajectoire crédible étant l'obligation centrale (II<\/strong><\/span>). Ainsi éclairée, l'Obligation de Compliance trouve son unicité, sa force et sa simplicité, étant supportable par l'entreprise qui doit la concrétiser parce qu'elle est en position de tendre avec effectivité, efficacité et efficience vers les buts monumentaux en vue desquels cette Obligation d'un nouveau type est générée  (III<\/strong><\/span>).<\/p>\n

 <\/p>\n

I.  LE COUPLE "OBLIGATION DE MOYENS \/ OBLIGATION DE RÉSULTAT", VOIE POUR APPRÉHENDER PAR LE DROIT POSITIF L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

9. <\/strong><\/span>Partir du droit positif des obligations techniques de compliance, tantôt de moyens, tantôt de résultat<\/strong><\/span> \ud83c\udfaf Pour ne pas continuer à plonger dans les disputes de définition sans jamais en sortir, inversons la méthode en partant des oppositions constatées dans l'intensité des contraintes issues des textes. Étudions le régime juridiques lui-même, appliqué à de multiples obligations que tous s'accordent à qualifier d'obligations de compliance, si diverses et si nombreuses, et trouvons  à travers cela une voie permettant  d'induire l'unicité de l'Obligation de Compliance. <\/p>\n

En partant du droit positif20<\/a><\/sup>Using the same method, we will start from the diversity of sources to nevertheless find the unicity of the Compliance Obligation: <\/span>, on opère le constat suivant : parfois les entreprises assujetties sont sanctionnées du seul fait qu'elles n'ont pas atteint le résultat  que le texte a visé, ce qui renvoie donc à ce que l'on appelle souvent en droit des contrats <\/strong>une obligation de résultat ; en effet les entreprises sont sanctionnées uniquement si un fait générateur est constitué par une faute ou une négligence et que la survenance de ce fait générateur est prouvée par celui qui demande la condamnation de l'entreprise, ce qui atteste d'une obligation de moyens. L'enjeu est avant tout probatoire21<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Judge, the Compliance Obligation and the Company. The Compliance Evidence System<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Jurisdictionalisation<\/a>, <\/em>2024.<\/span> . Cette dimension probatoire, qui fait que l'entreprise sera condamnée ou non montre que la qualification de résultat ou de moyen est essentielle : si l'obligation est de moyens, la faute ou la négligence est un objet de preuve dont la démonstration doit être apportée par celui qui se plaint, tandis que si l'obligation est de résultat, il suffit pour celui qui se plaint de montrer que le résultat n'est pas atteint pour que celui auquel le reproche est fait soit condamné. Tout est là22<\/a><\/sup>Il en résultera que l'Obligation de Compliance est avant l'obligation probatoire. Sur cela, v. infra <\/em>n°00 et s.<\/span>.<\/p>\n

 <\/p>\n

10. <\/strong><\/span>Les vertus du classement<\/strong><\/span> \ud83c\udfaf Bien qu'il paraisse hasardeux de transposer à des obligations légales l'expression et le régime des obligations contractuelles23<\/a><\/sup>It may, however, be dangerous to apply to a legal obligation a distinction which is usual only in Contract Law. On the one hand, a person obeys the law without his consent being required (the social contract is sufficient to give rise to the principle of obedience); on the other hand, his subjection to the law undoubtedly benefits all the other subjects of law, who may rely on a breach but do not, for all that, become ‘creditors’ of the legal obligation in relation to the subject: they must demonstrate a triggering event constituted by a fault or negligence. The fact that some authors systematically describe firms as ‘debtors’ of the Compliance Obligation, leading to confusion between a legal obligation and a contractual obligation, then allows them to argue that third parties could benefit from compensation without having to prove damage, a triggering event and a causal link, since they would be like creditors. See on this point, \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>The Compliance Obligation, between Will and Consent: obligation on obligation works<\/a>, in <\/em>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche (ed.), <\/em>\ud83d\udcd8<\/span>Compliance Obligation<\/em><\/a>, 2024.<\/span>, partons donc de ce constat d'une pluralité d'obligations techniques, qui sont pour certaines des obligations de de moyens et pour d'autres des obligations de résultat (A<\/strong><\/span>). Cette pluralité ne constitue pas un obstacle définitif à la constitution d'une définition unique de ce qu'est l'Obligation de Compliance. Cela permet au contraire de l'éclaircir, de tracer les allées dans ce qui est si souvent qualifié de fatras juridique, de "masse réglementaire" immaitrisable24<\/a><\/sup>A quoi s'ajoute la grande diversité des sources. Mais cela aussi est maîtrisable. mafr, La volonté, le coeur, le calcul. Cerner l'Obligation de compliance<\/span>. Un tel répertoire permet aussi de classer dans trois catégories qui s'articulent la multitude des obligations de résultat qui sont engendrées par l'Obligation de Compliance et de mesurer qu'il faut exclure de poser celle-ci comme étant elle-même globalement une obligation de résultat (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA DISTRIBUTION DES OBLIGATIONS TECHNIQUES DE COMPLIANCE EN OBLIGATIONS DE RÉSULTAT ET EN OBLIGATIONS DE MOYENS<\/strong><\/span><\/p>\n

 <\/p>\n

11. <\/strong><\/span>Préserver et améliorer les comportements en continu en perspective des buts visés par les textes = obligation de moyens ; mettre en place en amont les <\/em>structures visés par les textes<\/em> = <\/strong>obligation de résultat <\/strong><\/em>\ud83c\udfaf En effet, cette différence essentielle entre la masse des obligations de compliance qui sont des obligations de résultat et la masse des obligations de compliance qui sont des obligations de moyens, qui imprègne tout le système probatoire du Droit de la Compliance, n'entame pourtant pas cette unicité de l'Obligation de Compliance qui permet la définition de celle-ci.<\/p>\n

En tant que l'entreprise obligée au titre du Droit de la Compliance participe à la réalisation des Buts Monumentaux qui fondent normativement celui-ci25<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a> (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2023.<\/span>, obligation légale éventuellement relayée par le contrat26<\/a><\/sup>\ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udea7<\/span>Compliance contract, compliance clauses<\/a>, 2022<\/span>, voire par l'éthique27<\/a><\/sup> v. <\/span>M.-A. Frison-Roche<\/a> , <\/span>\ud83d\udcdd<\/span>La volonté, le cœur et le calcul, les trois traits cernant l'Obligation de Compliance<\/a>,  <\/span>in<\/em> <\/span>M.-A. Frison-Roche<\/a> (dir.), <\/span>\ud83d\udcd5<\/span>Les Buts Monumentaux de la Compliance<\/em><\/a>, 2024.<\/span><\/span>, l'obligation ne peut être qu'une obligation de moyens, en raison même de cette nature téléologique et de l'ampleur des buts visés, par exemple l'heureux dénouement de la crise climatique ou l'égalité effective  souhaitée entre les êtres humains. Le résultat visé est à la fois si ambitieux et si lointain que retenir autre chose qu'une obligation de moyens alors que le résultat envisagé est de cette ampleur et à cette distance revient à condamner d'avance toutes les entreprises, ce qui n'est pas admissible. Il est pourtant et néanmoins porteur de multiples obligations de résultat, dont le rôle est essentiel et qu'il faut dégager.<\/p>\n

 <\/p>\n

12. <\/strong><\/span>Articuler les obligations de résultat et de moyens avec les exigences d'effectivité, d'efficacité et d'efficience<\/strong><\/span> \ud83c\udfaf En effet, ce principe acquis laisse place au fait que ces comportements demandés et les effets évalués sont jalonnés par des process <\/em>mis en place par des outils structurels, le plus souvent légalement décrits, par exemple l'établissement d'un plan de vigilance ou des formations régulièrement organisées, ce qui relève du critère de l'effectivité <\/em><\/strong>de la Compliance : il s'agit alors d'obligations de résultat. À ce titre, il faut adopter un plan, un programme, il faut organiser des formations, il faut mettre en place un système d'alerte, etc. Si ce résultat n'est pas atteint, l'obligation n'est pas remplie. Tandis que les effets heureux produits par ces outils structurels (que sont ces plans, programmes, cartographie, evaluation, formations, etc.), effets heureux qui renvoient non pas à l'effectivité mais à l'efficacité<\/strong><\/em>  il s'agit d' obligations de moyens.  Par exemple, l'on peut contrôler la présence des apprenants dans la formation donnée, mais l'on ne peut qu'exiger l'effort de transmission d'une compétence, c'est-à-dire l'efficacité de cette formation. C'est encore plus le cas lorsqu'il s'agit d'obtenir la transformation de l'ensemble du système, c'est-à-dire une solidité acquise du système (bancaire, financier, climatique, etc.), une culture d'égalité (entre les êtres humains), un respect de chacun à l'égard de tous (préservation du pacte social) : il s'agit alors de préserver, voire de transformer les systèmes eux-mêmes, ce qui relève de l'efficience,<\/strong><\/em> ce pour quoi le bon sens conduit à exclure plus encore une obligation de résultat et à retenir une obligation de moyens. L'effet heureux sur l'ensemble du système est à la fois ce qui fonde toute la compliance mais ne peut engendre qu'une obligation de moyens.<\/p>\n

 <\/p>\n

13. <\/strong><\/span>L'enchâssement des obligations de moyens dans les obligations de résultat : la crédibilité des structures et process (obligations de résultat) à engendrer les comportements et effets attendus au regard des buts visés (obligations de moyens) : la crédibilité <\/strong><\/span> \ud83c\udfaf Les deux masses d'obligations de résultat et d'obligations de moyens ne sont pas pour autant étanches : il existe au contraire une communication.  En effet, c'est bien pour aboutir à cette transformation des systèmes (un numérique sûr, une durabilité des chaînes d'activités, une dégradation climatique enrayée, une souveraineté énergétique préservée, une culture de respect entre les êtres humains, etc.) qu'au départ les réglementations ont imposé aux entreprises par des obligations de résultats l'adoption des structures et des process : ont été ainsi construites les conditions "effectives" pour qu'apparaissent les comportements "efficaces" afin que les systèmes soient préservés dans la durée des risques et s'améliorent d'une façon "efficiente"28<\/a><\/sup>Sur le caractère central de la crédibilité, v. infra <\/em>n°00 ; v. aussi mafr, ... (conf. d'octobre 2024)<\/span>. <\/p>\n

 <\/p>\n

14. <\/strong><\/span>L'unicité de l'Obligation de Compliance par le continuum entre les structures et process (obligation de résultat), d'une part, les comportements et les cultures (obligations de moyens), continuum prenant son sens par les Buts Monumentaux de la Compliance<\/strong><\/span> \ud83c\udfafL'Obligation de Compliance apparaît ainsi unifiée parce que graduellement, et quelles que soient les diverses obligations de compliance dont il s'agit, leur intensité ou leur secteur, les préalables structurels de process29<\/a><\/sup>Ch. Lapp, in Les buts monumentaux de la compliance<\/span> de l'Obligation de Compliance sont des techniques de résultat auxquelles le Droit, à travers notamment le Juge30<\/a><\/sup>mafr (dir.), La juridictionnalisation de la compliance<\/em><\/span>, demandera qu'ils soient faits mais ne demandera pas plus, tandis que tendre vers la réalisation des Buts monumentaux précités sera une obligation de moyens, ce qui peut paraître plus léger, mais correspond à une ambition incommensurable, en ce qu'elle se situe à la hauteur de ces Buts31<\/a><\/sup>mafr, Les buts monumentaux, coeur battant du droit de la compliance....<\/span> : l'entreprise devra s'appuyer sur ses structures, par exemple une structure de formation, pour aller au-delà, par exemple que les personnes dont elle a la charge, comprennent ce qui leur a été enseigné, visant in fine <\/em>à une efficience des systèmes, par exemple que les personnes ainsi éduquées diffusent une culture de respect d'autrui, renvoyant en Europe à une ambition de civilisation des systèmes32<\/a><\/sup>mafr (dir.), L'europe de la compliance...<\/em><\/span>.<\/p>\n

 <\/p>\n

15. <\/strong><\/span>Ce que les entreprises, les autorités et les parties prenantes doivent prouver<\/strong><\/span>\ud83c\udfaf De cette articulation il résulte que les entreprises doivent montrer non pas tant ou seulement qu'elles ont bien suivi les process (résultat) mais que cela a produit des effets heureux et attendus33<\/a><\/sup>mafr, .... prolégomènes du système probatoire de la compliance, ...<\/span> qui convergent avec les buts recherchés par le Législateur34<\/a><\/sup>mafr, obligation sur obligation vaut<\/span>. Elles doivent aussi montrer que les structures mises en place étaient et sont en mesure de produire ces effets prévus et requis au regard des Buts Monumentaux : cette exigence de crédibilité ramène toujours à la dimension probatoire de l'Obligation de Compliance.<\/p>\n

 <\/p>\n

B. L'INADÉQUATION D'UNE OBLIGATION DE COMPLIANCE PENSÉE COMME OBLIGATION GLOBALE DE RÉSULTAT<\/strong><\/span><\/p>\n

 <\/p>\n

16. <\/strong><\/span>Le risque de rendre l'Obligation de Compliance "insupportable" par son  unification comme obligation globale de résultat<\/strong><\/em> \ud83c\udfaf Méconnaître ces distinctions, cette gradation et cette articulation aurait des conséquences pratiques très graves. En effet, transformer l'Obligation de Compliance en son principe et toutes ses modalités en obligation de résultat alors que le Droit de la Compliance prend sa normativité dans les Buts Monumentaux visés, ce qui lui attache une très grande ambition35<\/a><\/sup>\ud83d\udd74<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Compliance Monumental Goals, beating heart of Compliance Law<\/a>, in<\/em> M.-A. Frison-Roche (ed.), \ud83d\udcd8<\/span>Compliance Monumental Goals<\/em><\/a>, 2022.<\/span>, à savoir la sauvegarde des systèmes à l'avenir36<\/a><\/sup>Donnant corrélativement une grande unité au "Contentieux systémique" qui en résulte. Pour la démonstration de cela, mafr, Le contentieux systémique, 2024.<\/span>, n'aurait pas de sens car aucune entité n'a la puissance d'atteindre ici et maintenant un tel but. L'on ne doit demander à l'entreprise qui a mis en place les structures requises (plans, formations, évaluations, etc.) que des diligences raisonnables.<\/p>\n

 <\/p>\n

17. <\/strong><\/span>L'illustration par la Vigilance d'une articulation entre des structures imposées par une obligation de résultat (le plan) et des efforts demandés par une obligation de moyens (diligences) <\/em><\/strong><\/span>\ud83c\udfaf C'est d'ailleurs expressément ce que fait la Directive du 13 juin 2024 sur le devoir de vigilance37<\/a><\/sup>dans cette note attachée au paragraphe 17 de l'étude noter quelques exemple des diligences raisonnables que la directive CS2D du 13 juin 2024 exige des entreprises, merci.<\/span>. L'entreprise doit montrer qu'elle fait des efforts crédibles en s'appuyant sur les différentes structures qu'elle a mis en place (plan, programme, formation, évaluation, etc.). Dans ce qui est l'essentiel, c'est-à-dire non pas les process, qui ne sont qu'une condition (certes nécessaire), mais dans les comportements et les effets obtenus en continu ce sont des obligations de moyens que les textes engendrent à la charge de l'entreprise. <\/p>\n

 <\/p>\n

18. <\/strong><\/span>L'on ne peut demander aux entreprises de sauver immédiatement le monde en transformant l'effort requis en obligation de résultat : on peut leur demander de contribuer à  concrétiser cette ambition : c'est une obligation de moyens<\/em><\/strong><\/span> \ud83c\udfaf Pour qualifier en bloc l'Obligation de Compliance de l'entreprise en Obligation de résultat, il Il faudrait soutenir qu'il ne s'agit de demander aux grandes entreprises non pas de participer à la concrétisation de ces buts d'intérêt général global, mais d'exiger d'elles qu'elles transforment, et immédiatement, le monde en jardin d'Eden où la fraternité est acquise et où aucune pollution n'advient, tout risque étant jugulé. Cela n'est ni raisonnable ni rationnel de faire cela. C'est les condamner par avance car le manquement, ainsi conçu, serait par avance acquis.<\/p>\n

 <\/p>\n

19. <\/strong><\/span>L'on ne doit pas , pour limiter la contrainte pesant sur les entreprises, réduire la Compliance à des process mécaniques<\/em><\/strong><\/span> \ud83c\udfaf Pour échapper à cela, une solution imaginée serait tout autant dommageable. En effet, l'idée pourrait d'abandonner cette définition du Droit de la compliance par les Buts Monumentaux, parce que définition trop ambitieuse, trop politique, trop idéaliste, pour exiger simplement des entreprises qu'elles obéissent aux ordres donnés par le Législateur, qu'elles montrer leur obéissance en tous points à toutes les réglementations applicables et peuvent offrir aux autorités politiques et à toutes parties prenantes une immédiate satisfaction, sauf à être sanctionnées. Qu'elles "cochent les cases" et qu'elles retournent à leur affaire, qui est de faire des affaires.<\/p>\n

C'est alors réduire le Droit de la Compliance à la conformité. Ce système d'obéissance est peu libéral et les personnes soucieuses des libertés récusent cette conception qui se referme sur les États, les entreprises et les personnes qui y travaillent comme un étau38<\/a><\/sup>See for instance \ud83d\udd74\ufe0f<\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcdd<\/span>Les entreprises "cruciales" et leur régulation<\/em> ("Crucial" companies and their regulation)<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span>A. Supiot (ed.), \ud83d\udcd7<\/span>L'entreprise dans un monde sans frontières. Perspectives économiques et juridiques<\/em><\/a>, 2015.<\/span>. Mais il ne faut réduire le Droit de la compliance à la conformité, qui n'est qu'un outil de celui-ci. Nous renvoyons ici à des travaux de définitions comparées entre les deux pour soutenir cela39<\/a><\/sup>notamment mafr (dir.), Les buts monumentaux de la compliance, <\/em>2022 ; Compliance et conformité : les distinguer pour mieux les articuler, 2024.<\/span>.<\/p>\n

 <\/p>\n

20. <\/strong><\/span>L'on ne doit pas, pour autant, croire sur parole les entreprises dans leur affirmations d'obtenir demain les résultats voulus par d'autres ou par elles-mêmes<\/em><\/strong><\/span> \ud83c\udfaf Mais autant l'on ne peut asservir les entreprises par une obligation d'obéir, totale et aveugle, l'on ne peut se contenter d'affirmations vertueuses des personnes qui, au nom des entreprises et à travers diverses déclarations, disent que demain le résultat sera obtenu, que plus tard l'égalité entre les êtres humains sera atteinte, qu'à terme l'équilibre climatique sera restauré, etc., et qu'on ne peut leur demander davantage parce qu'on ne peut répondre du futur et qu'on n'est responsable que des choses passées et non des choses futures40<\/a><\/sup>Sur la difficulté des engagements, v. mafr, in L'obligation de compliance <\/em>; sur l'engagement comme procédé ayant tendance à remplacer à tort l'obligation probatoire, v. infra <\/em>n°00.<\/span>. <\/p>\n

Il est effectivement très difficile d'engager la responsabilité pour inexécution d'une obligation lorsque celle-ci porte sur le futur, car constitue un oxymore le fait de n'avoir pas atteint des buts qui se situent dans l'avenir. C'est là encore la spécificité de la responsabilité Ex Ante engendrée par la Compliance41<\/a><\/sup>mafr, La Responsabilité Ex Ante, pilier du Droit de la Compliance, 2021.<\/span>. Mais l'on peut encore surmonter cet obstacle.<\/p>\n

 <\/p>\n

21. <\/strong><\/span>Obliger à produire des effets crédibles au regard des Buts Monumentaux de la Compliance<\/em><\/strong><\/span> \ud83c\udfaf En effet, il convient d'obliger les entreprises à montrer les effets que les structures de compliance, qu'elles ont bâties parce qu'elles y sont obligées ou parce qu'elles l'on voulu42<\/a><\/sup>mafr, Obligation sur obligation vaut...<\/span>, ont engendré, ces effets assurant la crédibilité des effets futurs annoncés. En cela, la notion de trajectoire est essentielle et constitue le cœur de l'obligation de compliance. Pour résumer, L'entreprise a une obligation de résultat dans la mise en place de la structure de compliance, une obligation de moyens dans l'usage de cette structure pour atteindre les buts monumentaux et une obligation probatoire de montrer qu'au regard des effets déjà produits il est crédible que la trajectoire permettra sa contribution effective à cette ambition qui pourra dans le futur être concrétisée.<\/strong> Cette obligation probatoire sera développée dans la suite de cette étude43<\/a><\/sup>III. A, .... (mettre le titre) ; n°00   et s.<\/span>.<\/p>\n

 <\/p>\n

 <\/p>\n

II. LE CONSTAT D'UNE PLURALITÉ D'OBLIGATIONS DE RÉSULTAT ET D'OBLIGATIONS DE MOYENS, PIÈCES D'UNE OBLIGATION UNIQUE DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

22. <\/strong><\/span>Les obligations structurelles comme obligations de résultats ; les obligations comportementales comme obligations de moyens <\/strong><\/em>\ud83c\udfafSi l'on répertorie les différentes réglementations, il apparaît le Législateur donne parfois des ordres aux entreprises en leur imposant de mettre en place des structures : il s'agit alors d'obligations de résultat (A<\/strong><\/span>). Mais les effets produits sur les comportements des personnes ou les obligations comportementales elles-mêmes constituent des obligations de moyens (B<\/strong><\/span>).<\/p>\n

 <\/p>\n

A. LA MISE EN PLACE PAR L'ENTREPRISE DES STRUCTURES REQUISES  PAR LES  LOIS ET RÉGLEMENTATIONS : OBLIGATIONS DE RÉSULTAT <\/strong><\/span><\/p>\n

23. <\/em><\/strong><\/span>Les 3 types d'obligations de résultats : les obligations <\/em>de plano pour que l'entreprise construise la structure de compliance, les obligations secondaires dans la façon de la construire, les obligations conditionnées à l'apparition d'une situation<\/em> <\/strong>\ud83c\udfafL'examen de toutes les obligations auxquelles les lois de compliance assujettissent les entreprises amène a distinguer trois catégories d'obligations de résultat : des obligations consistant pour l'entreprise, de plano<\/em>, à construire une structure de Compliance<\/span> (1<\/strong><\/span>), des obligations de résultat secondaires liées à la construction et au fonctionnement de ces structures<\/span> (2<\/strong><\/span>) et enfin des obligations de résultat dont  le déclenchement est conditionné à l'apparition d'une situation particulière<\/span> (3<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Obligations de résultat de plano <\/em>pour que l'entreprise construise la structure de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

24. <\/strong><\/span>L'obligation de résultat de constituer, conserver et tenir un registre de données à caractère personnel <\/strong><\/em>\ud83c\udfafL'article 6 du Règlement sur la protection des données à caractère personnel, dit "RGPD<\/strong>"44<\/a><\/sup>mettre l'article 6 RGPD ... ; mettre une ou deux doctrines....<\/span>, oblige l'entreprise assujettie à assurer ses fonctions de constitution, de conservation et de tenue du registre de données personnelles, à en désigner un "responsable"45<\/a><\/sup>c'est-à-dire une personne ayant la charge et le pouvoir : mafr, concevoir le pouvoir, 2021 ; ..... in Les puissances privées.<\/em>.., 2024.<\/span> et à recueillir le consentement des personnes pour en faire usage. L'obtention de ce consentement, la réalité de celui-ci en ce qu'il traduit la libre volonté de la personne concernée à laisser l'entreprise disposer de cette information, ainsi que la transmission de ces informations ont donné lieu à un corps si important qu'on considère souvent qu'il constitue un Droit à part entière : le Droit des données personnelles46<\/a><\/sup>Sur la constitution du Droit des données personnelles, v. par ex. ....<\/span>.<\/p>\n

En Droit européen le consentement est conçu comme l'expression de la libre volonté et doit porter également sur l'usage pour lequel la donnée est traitée. En outre, le traitement de certaines données personnelles est interdit. En ce qui concerne plus particulièrement l'obligation de sécurité que les lois font peser sur l'entreprise assujettie, il apparaît que la mise en place d'une structure assurant la sécurité du registre est requise, mais la CNIL par sa décision du 7 août 201447<\/a><\/sup>CNIL, sanct., 24 août 2014,<\/span> pose que l'effet attendu ne peut être une sécurité absolue : il est attendu de l'entreprise qu'elle ait pris un niveau de sécurité satisfaisant, le constat d'un faille ne suffisant pas à engager sa responsabilité. L'on appréhende à travers cette décision la distinction qui va apparaître dans tous les textes entre la mise en place de ce que l'on pourrait appeler des "structures crédibles"48<\/a><\/sup>The ability of these structures to produce the desired effect, for example the targeted security, is an evidential issue: who must prove the sufficiency of these structures? At first sight, because it is a legal requirement under the Compliance Obligation to which the firm is legally subject, it is up to the firm to prove the credibility of the structures it has put in place to produce the desired effect. But once proven, that is enough. The fact that there has been contrary behaviour, for example someone taking advantage of a security flaw, does not in itself incur liability.<\/span>, obligation de résultat, et la production d'effets par ces structures, obligation de moyens.<\/span> Il apparaît ainsi que la mise en place de la structure des registres et de leur garde est une obligation de résultat, la protection des personnes concernées contre l'usage sans leur volonté des informations est une obligation de moyens, mais il faut que dès le départ l'entreprise montre que la structure qu'elle a mis en place soit "crédible", c'est-à-dire soit suffisamment robuste et efficace pour produire raisonnablement cet effet-là, ce pour quoi l'entreprise fera par ailleurs diligence (obligations de moyens).<\/p>\n

 <\/p>\n

25. <\/strong>L'obligation de résultat de mettre en place une politique, un dispositif, des procédures internes, de gestion des risques, comprenant les différents Outils de Compliance visés par les lois  <\/strong><\/em>\ud83c\udfaf De nombreux textes de Compliance contiennent une obligation première consistant à imposer aux entreprises de mettre en place des dispositifs, politiques, procédures internes de gestion des risques systémiques que ceux-ci cherchent à prévenir. Les textes détaillent ensuite le contenu de cette obligation, qui correspond à l'adoption et la mise en oeuvre de divers Outils de Compliance : cartographie des risques, dispositif d'alerte, formation, etc. Ainsi, la loi "Sapin 2"<\/strong> oblige les entreprises assujetties à prendre des "mesures destinées à prévenir et à détecter la commission […] de faits de corruption ou de trafic d'influence"<\/span>\ud83d\udcce<\/span>49<\/a><\/sup>Loi Sapin 2, art. 17 : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II. [...] II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes :" le texte visant ensuite un code de conduite, une cartographie des risques, un dispositif de formation, etc.<\/span>. En matière financière, le règlement anti-blanchiment<\/strong> exige que les entreprises assujetties "disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité" aux règles anti-blanchiment et de gel des avoirs<\/span>\ud83d\udcce<\/span>50<\/a><\/sup>Règlement anti-blanchiment, art. 9, 1. : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur, et, en particulier: a) à atténuer et gérer efficacement les risques de blanchiment de capitaux et de financement du terrorisme identifiés au niveau de l’Union, de l’État membre et de l’entité assujettie; b) outre l’obligation d’appliquer des sanctions financières ciblées, à atténuer et gérer les risques d’absence de mise en œuvre et de contournement de sanctions financières ciblées.".<\/span>, le droit national imposant quant à lui la mise en place d'une "organisation" et de "procédures internes"<\/span>\ud83d\udcce<\/span>51<\/a><\/sup>CMF, art. L. 561-32 pour la lutte contre le blanchiment d'argent et le financement du terrorisme : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.", et L. 562-4-1 pour le gel des avoirs : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national. ".<\/span>. <\/span>Le RIA<\/strong> impose notamment aux fournisseurs de SIA à haut risque de mettre en place un "système de gestion de la qualité", lequel comprend un "système de gestion des risques", qui implique une identification et évaluation des risques, l'adoption de mesures appropriées, etc.<\/span>52<\/a><\/sup>RIA, art. 16 et 17, renvoyant au système de gestion des risques de l'art. 9, 1. : "1.   Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.".<\/span>. En matière de cybersécurité, le règlement DORA<\/strong> impose aux entités financières assujetties de disposer d'un "cadre de gestion du risque lié aux TIC", qui comprend notamment leurs stratégies, politiques et procédures pour "parer au risque lié aux TIC"<\/span>53<\/a><\/sup>Règlement DORA, art. 6 : "1.  Les entités financières disposent d’un cadre de gestion du risque lié aux TIC solide, complet et bien documenté, faisant partie de leur système global de gestion des risques, qui leur permet de parer au risque lié aux TIC de manière rapide, efficiente et exhaustive et de garantir un niveau élevé de résilience opérationnelle numérique.
\r\n2.  Le cadre de gestion du risque lié aux TIC englobe au moins les stratégies, les politiques, les procédures, les protocoles et les outils de TIC qui sont nécessaires pour protéger dûment et de manière appropriée tous les actifs informationnels et les actifs de TIC, y compris les logiciels, le matériel informatique, les serveurs, ainsi que toutes les composantes et infrastructures physiques pertinentes, telles que les locaux, centres de données et zones sensibles désignées, afin de garantir que tous les actifs informationnels et actifs de TIC sont correctement protégés contre les risques, y compris les dommages et les accès ou utilisations non autorisés.".<\/span>. Elles doivent également adopter des politiques et procédures de sauvegarde et des procédures et méthodes de restauration et de rétablissement<\/span>54<\/a><\/sup>Règlement DORA, art. 12, 1. : "1.  Dans le but de veiller à la restauration des systèmes et des données des TIC en limitant au maximum la durée d’indisponibilité, les perturbations et les pertes, aux fins de leur cadre de gestion du risque lié aux TIC, les entités financières définissent et documentent: a) des politiques et procédures de sauvegarde qui précisent la portée des données concernées par la sauvegarde et la fréquence minimale de celle-ci, en fonction de la criticité des informations ou du niveau de confidentialité des données; b) des procédures et méthodes de restauration et de rétablissement.".<\/span>. La directive NIS 2<\/strong> prévoit quant à elle que les entités essentielles doivent prendre des  "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquelles elles ont recours, puis là encore détaille par la suite le contenu de celles-ci<\/span>55<\/a><\/sup>Directive NIS 2, art. 21, 1. "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.".<\/span>.<\/p>\n

Enfin, la loi "Vigilance"<\/strong> engendre d'une façon semblable une obligation de résultat contraignant l'entreprise à adopter formellement un plan comprenant expressément des Outils de Compliance que le législateur a listé. Les effets produits par ces outils relèvent quant à eux d'une obligation de moyens, comme cela sera développé plus loin, mais l'adoption même de ce plan et la présence de tel ou tel mécanisme de Compliance visé par la loi sont quant à eux, pour l'entreprise assujettie, une obligation de résultat<\/span>\ud83d\udcce<\/span>56<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan comporte les mesures de vigilance raisonnable propres à identifier les risques et à prévenir les atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation." ; v. infra n° 00 et n° 00.<\/span>. <\/span><\/p>\n

De la même façon, la CS3D<\/strong>, même si elle n'impose pas l'adoption d'un plan formel de vigilance, impose aux entreprises assujetties l'intégration explicite du devoir de vigilance dans leurs politiques et leurs systèmes de gestion des risques, ce qui correspond donc à une obligation de résultat. Les autres textes européens qui se réfèrent à des mécanismes de vigilance n'exigent pas cette présence explicite des outils de vigilance au sein de la politique générale de l'entreprise ni dans leur système de gestion des risques. Ce formalisme peut éventuellement paraître excessif si l'entreprise parvient à produire par ailleurs les effets attendus par le Législateur. <\/span><\/p>\n

 <\/p>\n

26. <\/strong><\/span>L'obligation de résultat d'adopter un programme, un plan, ou un code de conduite Ex Ante visé par la loi <\/strong><\/em>\ud83c\udfafPlusieurs lois exigent expressément des entreprises qu'elles adoptent de plano <\/em>un plan ou un programme. C'est le cas de la loi "Sapin 2"<\/strong> qui, dans son article 1757<\/a><\/sup>mettre le titre exact de la loi Sapin 2 et recopier (au moins en partie) son article 17 qui décrit l'adoption de la cartographie, du système d'alerte, etc.<\/span>  pose l'obligation pour l'entreprise d'adopter un "code de conduite<\/span>" puis détaille un ensemble de mesures et procédures à mettre en oeuvre<\/span>. Recopiant quasiment le mécanisme, la loi de 2017 dite "Vigilance"<\/strong>58<\/a><\/sup>donner le titre exact de la loi Vigilance ; mafr, ... in La société vigilante<\/em>, 2023.<\/span>, impose à l'entreprise d'<\/span>adopter un plan de vigilance, listant les dispositifs qu'il doit comprendre ou auxquels il doit se référer. Ainsi l'entreprise qui n'en adopte pas alors qu'elle est assujettie à ces lois doit justifier l'inexécution de son obligation légale. Dans le même sens, la directive CS3D<\/strong>, si elle n'impose pas à l'entreprise d'établir un plan de vigilance semblable à celui de la loi française de 2017, l'oblige a intégrer le devoir de vigilance dans ses politiques et systèmes de gestion des risques, et précise que cela doit se matérialiser notamment par un code de conduite\ud83d\udcce59<\/a><\/sup>CS3D, art. art. 7 : "[…] 2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants, et contient l’ensemble des éléments suivants : […] b) un code de conduite décrivant les règles et principes à suivre dans l’ensemble de l’entreprise et de ses filiales, et par les partenaires commerciaux directs ou indirects de l’entreprise conformément à l’article 10, paragraphe 2, point b), à l’article 10, paragraphe 4, à l’article 11, paragraphe 3, point c), ou à l’article 11, paragraphe 5".<\/span>.<\/span><\/p>\n

 <\/p>\n

27. <\/strong><\/span>L'obligation de résultat de mise en place d'un système d'alerte  <\/strong><\/em>\ud83c\udfaf Sous diverses appellations, de nombreux textes imposent à l'entreprise de mettre en place un système d'alerte, permettant à des personnes évoluant en son sein ou à des tiers de lui signaler de potentiels manquements, avec pour objectif que l'entreprise ainsi informée puisse dans un second temps agir. Tel est en premier lieu le cas de la loi "Sapin 2"<\/strong>, laquelle contient les règles d'une sorte de droit commun de l'alerte et impose par ailleurs à l'entreprise de mettre en oeuvre un dispositif d'alerte interne à destination de ses employés<\/span>60<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 2° Un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société".<\/span>. Le mécanisme d'alerte est également une des mesures à inclure dans le plan de vigilance et à mettre en oeuvre au titre de la loi de 2017<\/strong>\ud83d\udcce<\/span><\/span>61<\/a><\/sup>Loi vigilance \/ C. Com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span>. Il fait également partie des éléments composant le devoir de vigilance européen, les entreprises assujetties devant mettre en place un "mécanisme de notification et une procédure relative aux plaintes"<\/span>\ud83d\udcce<\/span>62<\/a><\/sup>CS3D, art. 5, f) : "établir et maintenir un mécanisme de notification et une procédure relative aux plaintes conformément à l’article 14" et art. 14, "Les États membres veillent à ce que les entreprises permettent aux personnes et aux entités énumérées au paragraphe 2 de déposer des plaintes auprès d’elles lorsque ces personnes ou entités ont des préoccupations légitimes quant aux incidences négatives réelles ou potentielles en ce qui concerne les activités des entreprises en question, les activités de leurs filiales ou les activités de leurs partenaires commerciaux dans les chaînes d’activités des entreprises.".<\/span>. Le DSA<\/strong> prévoit quant à lui l'obligation pour les fournisseurs de services d’hébergement de mettre en place des mécanismes de notification, permettant à toute personne de leur signaler un contenu illicite<\/span>63<\/a><\/sup>DSA, art. 16 : "Les fournisseurs de services d’hébergement mettent en place des mécanismes permettant à tout particulier ou à toute entité de leur signaler la présence au sein de leur service d’éléments d’information spécifiques que le particulier ou l’entité considère comme du contenu illicite. Ces mécanismes sont faciles d’accès et d’utilisation et permettent la soumission de notifications exclusivement par voie électronique.".<\/span>. Sans prévoir directement l'obligation pour l'entreprise de mettre en place un dispositif d'alerte ou de signalement spécifique, le DMA<\/strong> prévoit que les signalement de ses violations relèvent de la directive sur le lancement d'alerte, de sorte que le dispositif d'alerte établi par les entreprises en application de ce texte et de ses dispositions nationales de transposition (en France la loi "Sapin 2") permet de lancer l'alerte sur les manquements à ses dispositions. <\/span> En matière de lutte contre le blanchiment d'argent, le règlement européen relatif à la LCB-FT<\/strong> prévoit que les entreprises assujetties doivent établir des canaux de signalement interne\ud83d\udcce<\/span><\/span>64<\/a><\/sup>Règlement anti-blanchiment, art. 14, 2. : "Les entités assujetties établissent des canaux de signalement interne qui satisfont aux exigences énoncées dans la directive (UE) 2019\/1937.".<\/span>.<\/span> <\/span>Quant à la cybersécurité, les entités financières assujetties au règlement DORA<\/strong> ont l'obligation d'établir et mettre en oeuvre un processus de gestion des incidents liés aux TIC, lequel comprend notamment les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC<\/span>65<\/a><\/sup>Règlement DORA, art. 17, 3., d) : "3.  Le processus de gestion des incidents liés aux TIC visé au paragraphe 1: [...] d) établit des plans pour la communication à l’intention du personnel, des parties prenantes externes et des médias, conformément à l’article 14, et pour la notification aux clients, les procédures internes de remontée des informations, y compris les plaintes des clients liées aux TIC, ainsi que pour la fourniture d’informations aux entités financières qui agissent en tant que contreparties, le cas échéant;".<\/span>. <\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

28. <\/strong><\/span>L'obligation de résultat d'établissement <\/span>d'une cartographie des risques  <\/strong><\/em>\ud83c\udfafLa cartographie des risques est un outil central en Droit de la Compliance<\/span>66<\/a><\/sup>\ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche<\/a>, \ud83d\udcddDresser des cartographies des risques comme obligation et le paradoxe des "risques de conformité"<\/a>, in<\/em> \ud83d\udd74\ufe0f<\/span><\/span>M.-A. Frison-Roche (dir.), \ud83d\udcd5<\/span>Les outils de la Compliance<\/em><\/a>, <\/em>2021.<\/span>, permettant à l'entreprise d'identifier les risques générés par son activité afin dans un second temps d'agir sur ceux-ci. Il est ainsi logique de retrouver l'obligation d'établir une cartographie des risques dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>, dont l'article 17 vise la cartographie des risques au titre des mesures et procédures que l'entreprise a l'obligation de mettre en place<\/span>\ud83d\udcce<\/span>67<\/a><\/sup>Loi Sapin 2, art. 17, II., 2° : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 3° Une cartographie des risques prenant la forme d'une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d'exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activités et des zones géographiques dans lesquels la société exerce son activité".<\/span><\/span>. C'est également le cas en matière de vigilance, la loi de 2017 <\/strong>prévoyant que la cartographie des risques est l'un des éléments que doit comprendre le plan de vigilance<\/span>68<\/a><\/sup>C. com., art. L.225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : 1° Une cartographie des risques destinée à leur identification, leur analyse et leur hiérarchisation".<\/span>, et la CS3D<\/strong> disposant qu'au titre de leur devoir de vigilance les entreprises assujetties ont l'obligation de recenser et évaluer les incidences négatives réelles ou potentielles, notamment en réalisant une cartographie<\/span>\ud83d\udcce<\/span>69<\/a><\/sup>CS3D, art. 5 : "1. Les États membres veillent à ce que les entreprises fassent preuve d’un devoir de vigilance en matière de droits de l’homme et d’environnement fondé sur les risques tel que défini aux articles 7 à 16 («devoir de vigilance») en prenant les mesures suivantes: [...] recenser et évaluer les incidences négatives réelles ou potentielles conformément à l’article 8 et, si nécessaire, hiérarchiser les incidences négatives réelles et potentielles conformément à l’article 9" et art. 8 : "1. Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour recenser et évaluer les incidences négatives réelles et potentielles découlant de leurs propres activités ou de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, conformément au présent article. 2.Dans le cadre de l’obligation définie au paragraphe 1, compte tenu des facteurs de risque pertinents, les entreprises prennent des mesures appropriées pour: cartographier leurs propres activités, celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, celles de leurs partenaires commerciaux, afin de recenser les domaines généraux dans lesquels les incidences négatives sont les plus susceptibles de se produire et d’être les plus graves; procéder, sur la base des résultats de la cartographie visée au point a), à une évaluation approfondie de leurs propres activités, de celles de leurs filiales et, lorsqu’elles sont liées à leurs chaînes d’activités, de celles de leurs partenaires commerciaux, dans les domaines dans lesquels les incidences négatives ont été recensées comme étant les plus susceptibles de se produire et les plus graves.".<\/span>. <\/span>Quant à la CSRD<\/strong>, elle ne contient pas d'obligation expresse et directe pour l'entreprise d'établir une cartographie des risques. Toutefois, en obligeant l'entreprise à établir et publier un "rapport de durabilité" selon un principe de double matérialité, elle conduit l'entreprise à identifier et évaluer non seulement ses impacts sur les enjeux de durabilité (matérialité d'impact) mais encore les risques et opportunités en lien avec ces enjeux (matérialité financière). Ce faisant, le processus mis en oeuvre se rapproche d'une cartographie, si ce n'est des risques, plus largement des impacts, risques et opportunités. Par ailleurs, <\/span>s'il n'impose pas expressément l'établissement d'une cartographie des risques, le corpus de règles relatif à la lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong> oblige l'entreprise assujettie à mettre en place des politiques et procédures internes devant comprendre une "réalisation et [une] actualisation de l’évaluation des risques à l’échelle de l’entité"<\/span>\ud83d\udcce<\/span>70<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1. Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...] 2. Les politiques, procédures et contrôles visés au paragraphe 1 comprennent : a) les politiques et procédures internes, y compris en particulier : i) la réalisation et l’actualisation de l’évaluation des risques à l’échelle de l’entité".<\/span><\/span>, ce qui en droit français se traduit par une obligation de définir et mettre en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées<\/span>71<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Le RGPD<\/strong>, quant à lui, ne pose pas d'obligation générale d'établissement d'une cartographie des risques. Toutefois, il prévoit que lorsque le traitement "est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques", alors le responsable de traitement doit préalablement effectuer une "analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel", cette analyse comprenant notamment une évaluation des risques pour les droits et libertés des personnes concernées<\/span>\ud83d\udcce72<\/a><\/sup>RGPD, art. 35, 1. et 7 : "1. Lorsqu'un type de traitement, en particulier par le recours à de nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel. Une seule et même analyse peut porter sur un ensemble d'opérations de traitement similaires qui présentent des risques élevés similaires. 

\r\n\r\n[…]

\r\n\r\n7. L'analyse contient au moins: […]

\r\n\r\nc) une évaluation des risques pour les droits et libertés des personnes concernées conformément au paragraphe 1".<\/span>. Le DSA<\/strong> impose aux fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne de recenser, analyser et évaluer tout risque systémique généré par la conception ou le fonctionnement de leurs services et systèmes connexes ou de l'utilisation de leurs services\ud83d\udcce73<\/a><\/sup>DSA, art. 34 : "1. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne recensent, analysent et évaluent de manière diligente tout risque systémique au sein de l’Union découlant de la conception ou du fonctionnement de leurs services et de leurs systèmes connexes, y compris des systèmes algorithmiques, ou de l’utilisation faite de leurs services.".<\/span>. Cela revient à leur imposer d'établir une cartographie des risques, laquelle n'a pas à être publiée mais doit être conservée en vue d'un éventuel contrôle par la Commission ou les autorités nationales\ud83d\udcce74<\/a><\/sup>DSA, art. 34, 3. : "3. Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne conservent les documents justificatifs des évaluations des risques pendant au moins trois ans après la réalisation de ces évaluations, et les communiquent à la Commission et au coordinateur pour les services numériques de l’État membre d’établissement, à leur demande.".<\/span><\/span>. L'IA Act<\/strong> appréhende les différents systèmes d'intelligence artificielle à travers les risques qu'ils génèrent et adopte une approche fondée sur les risques générés.<\/em> Ainsi, pour les systèmes d'IA à haut risque, il est nécessaire d'établir un système de gestion des risques devant comprendre une identification et une analyse des risques que le système d'IA peut ou pourrait engendrer pour la santé la sécurité ou les droits fondamentaux\ud83d\udcce75<\/a><\/sup>IA Act, art. 9 : "1. Un système de gestion des risques est établi, mis en œuvre, documenté et tenu à jour en ce qui concerne les systèmes d’IA à haut risque.

\r\n\r\n2. Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na) l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination".<\/span>. De même, pour les modèles d'IA à usage général il convient d'identifier les risques systémiques qu'ils génèrent\ud83d\udcce76<\/a><\/sup>IA Act, art. 65 : "1. Outre les obligations énumérées aux articles 53 et 54, les fournisseurs de modèles d’IA à usage général présentant un risque systémique:

\r\n\r\na) effectuent une évaluation des modèles sur la base de protocoles et d’outils normalisés reflétant l’état de la technique, y compris en réalisant et en documentant des essais contradictoires des modèles en vue d’identifier et d’atténuer les risques systémiques;

\r\n\r\nb) évaluent et atténuent les risques systémiques éventuels au niveau de l’Union, y compris leurs origines, qui peuvent découler du développement, de la mise sur le marché ou de l’utilisation de modèles d’IA à usage général présentant un risque systémique".<\/span>. En matière de cybersécurité, les fabricants de produits comportant des éléments numériques ont l'obligation d'entreprendre une évaluation des risques de cybersécurité associés à leur produit, afin de recenser les risques et exigences essentielles de cybersécurité pertinents\ud83d\udcce77<\/a><\/sup>Règlement cyberrésilience, dont l'article 13 impose notamment une évaluation des risques de cybersécurité liés à un produit comportant des éléments numériques.<\/span>. Spécifiquement p<\/span>our les entités financières, le règlement DORA<\/strong> impose quant à lui, sans mentionner expressément le terme "cartographie", d'identifier de manière continue toutes les sources de risque lié aux TIC et d'évaluer les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions "métiers" s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC\ud83d\udcce78<\/a><\/sup>Règlement DORA, art. 8, 2. : "2. Les entités financières identifient, de manière continue, toutes les sources de risque lié aux TIC, en particulier l’exposition au risque vis-à-vis d’autres entités financières et émanant de celles-ci, et évaluent les cybermenaces et les vulnérabilités des TIC qui concernent leurs fonctions «métiers» s’appuyant sur les TIC, leurs actifs informationnels et leurs actifs de TIC. Les entités financières examinent régulièrement, et au moins une fois par an, les scénarios de risque qui ont des incidences sur elles.".<\/span>. Enfin, la directive NIS 2 <\/strong>impose aux entités essentielles et importantes de prendre des mesures de gestion des risques de cybersécurité, ce qui se traduit notamment par des politiques d'analyse et des évaluations des risques, sans qu'une cartographie stricto sensu<\/em> ne soit exigée\ud83d\udcce79<\/a><\/sup>Directive NIS 2, art. 21 : "2.   Les mesures visées au paragraphe 1 sont fondées sur une approche «tous risques» qui vise à protéger les réseaux et les systèmes d’information ainsi que leur environnement physique contre les incidents, et elles comprennent au moins: a)les politiques relatives à l’analyse des risques et à la sécurité des systèmes d’information; b)la gestion des incidents; c)la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises; d)la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs; e)la sécurité de l’acquisition, du développement et de la maintenance des réseaux et des systèmes d’information, y compris le traitement et la divulgation des vulnérabilités; f)des politiques et des procédures pour évaluer l’efficacité des mesures de gestion des risques en matière de cybersécurité; g)les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité; h)des politiques et des procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement; i)la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs; j)l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes sécurisés de communication d’urgence au sein de l’entité, selon les besoins.

\r\n\r\n3.   Les États membres veillent à ce que, lorsqu’elles examinent lesquelles des mesures visées au paragraphe 2, point d), du présent article sont appropriées, les entités tiennent compte des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs et prestataires de services, y compris de leurs procédures de développement sécurisé. Les États membres veillent également à ce que, lorsqu’elles examinent lesquelles des mesures visées audit point sont appropriées, les entités soient tenues de prendre en compte les résultats des évaluations coordonnées des risques pour la sécurité des chaînes d’approvisionnement critiques, effectuées conformément à l’article 22, paragraphe 1.".<\/span>. Là encore, c'est l'existence d'un telle politique qui constitue une obligation de résultat, non sa production d'effets. En dernier lieu, là encore sans aller jusqu'à exiger expressément une cartographie des risques, le règlement déforestation<\/strong> impose aux entreprises assujetties de récolter de l'information quant au respect des exigences du texte par les produits visés et d'évaluer le risque de non-conformité de ceux-ci, ce qui revient in fine<\/em> à exiger des opérateurs une forme de cartographie des risques\ud83d\udcce80<\/a><\/sup>Règlement déforestation, art. 9 sur la collecte d'information et art. 10 sur l'évaluation des risques : "1.   Les opérateurs vérifient et analysent les informations recueillies conformément à l’article 9 ainsi que tout autre document pertinent. Sur la base de ces informations et de cette documentation, les opérateurs procèdent à une évaluation du risque visant à déterminer s’il existe un risque que les produits en cause destinés à être mis sur le marché ou exportés ne soient pas conformes. Les opérateurs ne mettent pas les produits en cause sur le marché ni ne les exportent, sauf si l’évaluation du risque révèle l’existence d’un risque nul ou seulement négligeable que les produits en cause soient non conformes.".<\/span>.<\/span><\/p>\n

\n

 <\/span><\/p>\n<\/div>\n

29. <\/strong><\/span>L'obligation de résultat d'une procédure de connaissance du client (LCB-FT) <\/strong><\/em>\ud83c\udfaf <\/em><\/strong>En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement anti-blanchiment impose à l'entreprise assujettie d'adopter des politiques et procédures internes qui lui permet notamment d'être vigilante à l'égard de ses clients<\/span>81<\/a><\/sup>Règlement anti-blanchiment, art. 9, 2., a), iii) : "2.   Les politiques, procédures et contrôles visés au paragraphe 1 comprennent: [...] iii) la vigilance à l’égard de la clientèle aux fins de la mise en œuvre du chapitre III du présent règlement, y compris des procédures pour déterminer si le client, le bénéficiaire effectif, ou la personne pour le compte ou au profit de laquelle une transaction ou une activité est menée est une personne politiquement exposée ou un membre de la famille ou une personne connue pour être étroitement associée;".<\/span>. Le droit interne prévoit que l'entreprise assujettie est tenue d'appliquer des "mesures de vigilance" à l'égard de ses clients, au titre desquelles elle a notamment l'obligation de résultat de mettre en place des "dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme" ainsi qu'une "politique adaptée à ces risques"\ud83d\udcce<\/span>82<\/a><\/sup>CMF, art. L. 561-4-1, al. 1 et 2 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. De même, les organismes financiers ont l'obligation de mettre en place des dispositifs adaptés permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des avoirs constitue une obligation de résultat\ud83d\udcce<\/span>83<\/a><\/sup>ACPR, Commission des sanctions, 27 nov. 2012, n° 2011-03 : "Considérant que, selon le paragraphe 2.2 de l’article 11-7 du règlement n° 97-02 du CRBF susvisé, les banques doivent se doter de dispositifs adaptés à leurs activités permettant de détecter toute opération au bénéfice d’une personne ou d’une entité faisant l’objet d’une mesure de gel des fonds, instruments financiers et ressources économiques ; que les mesures de gel ainsi visées sont aussi bien celles prises dans le cadre communautaire déjà mentionné que celles que peut prendre en complément le ministre chargé de l’économie en vertu de l’article L. 562-1 du COMOFI ; que l’aptitude des dispositifs (dont elles doivent se doter) à la détection des opérations litigieuses met à la charge des banques une obligation de résultat ;".<\/span>. Enfin, au titre de la loi "Sapin 2", l'entreprise assujettie doit établir une procédure d'évaluation des tiers, notamment de ses clients\ud83d\udcce84<\/a><\/sup>Loi Sapin 2, art. 17, II., 4° : "II.-Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;".<\/span>.<\/span><\/p>\n

 <\/p>\n

30. <\/strong><\/span>L'obligation de résultat d'une procédure d'évaluation régulière des tiers <\/strong><\/em>\ud83c\udfafLa procédure d'évaluation des tiers est une obligation issue des lois de Compliance, qu'il s'agisse de la loi dite "Vigilance"<\/strong>, qui exige l'établissement d'une procédure d'évaluation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie\ud83d\udcce85<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] 2° Des procédures d'évaluation régulière de la situation des filiales, des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, au regard de la cartographie des risques".<\/span><\/span> ou<\/span> de la loi "Sapin 2"<\/strong>, qui prévoit également une telle procédure à son article 17, visant quant à elle les "clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques"\ud83d\udcce86<\/a><\/sup>Loi Sapin 2, art. 17, II. : "II. - Les personnes mentionnées au I mettent en oeuvre les mesures et procédures suivantes : [...] 4° Des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques".<\/span>. C'est également le cas en matière d'anti-blanchiment, le règlement anti-blanchiment qui prévoiyant des obligations d'évaluation des clients au titre de des mesures de vigilance que l'opérateur assujetti doit déployer à l'égard de sa clientèle<\/span>\ud83d\udcce87<\/a><\/sup>Règlement anti-blanchiment, art. 20.<\/span>, tout comme les dispositions de droit national88<\/a><\/sup>CMF, art. L. 561-4-1 : "Les personnes mentionnées à l'article L. 561-2 appliquent les mesures de vigilance destinées à mettre en œuvre les obligations qu'elles tiennent du présent chapitre en fonction de l'évaluation des risques présentés par leurs activités en matière de blanchiment de capitaux et de financement du terrorisme.

\r\n\r\nA cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin la CS3D pose l'obligation pour les entreprises assujetties de procéder à des "évaluations périodiques" de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux<\/span>\ud83d\udcce89<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span>.<\/span> En outre, la directive oblige les entreprises assujetties à recenser les incidences négatives réelles et potentielles non seulement de son activité mais encore de celle de ses filiales et partenaires commerciaux s'insérant dans leur chaîne d'activité, ce qui les conduit à mettre en place de telles procédures<\/span>\ud83d\udcce90<\/a><\/sup>CS3D, art. 8.<\/span>.<\/span><\/p>\n

 <\/p>\n

31. <\/strong>L'obligation de résultat de mettre en place une formation <\/strong><\/em>\ud83c\udfaf La formation est un outil central en matière de Compliance\ud83d\udcce91<\/a><\/sup>\ud83d\udd74\ud83c\udffbM.-A. Frison-Roche, \ud83d\udcddLa formation : contenu et contenant de la Compliance, in<\/em> \ud83d\udd74\ud83c\udffbM.-A. Frison-Roche (dir.), \ud83d\udcd5Les outils de la Compliance<\/em>, 2021.<\/span>, présent dans de nombreux textes de Compliance. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce92<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 6° Un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d'influence".<\/span>, du règlement anti-blanchiment <\/strong>du 31 mai 2024\ud83d\udcce93<\/a><\/sup>Règlement antiblanchiment, art. 12 : "Les entités assujetties prennent des mesures pour veiller à ce que les membres de leur personnel ou les personnes se trouvant dans une situation comparable dont la fonction l’exige, y compris leurs agents et distributeurs, aient connaissance des exigences découlant du présent règlement, du règlement (UE) 2023\/1113 et de tout acte administratif émis par tout superviseur, et de l’évaluation des risques à l’échelle de l’entité, ainsi que des politiques, procédures et contrôles internes en place dans l’entité assujettie, y compris en ce qui concerne le traitement des données à caractère personnel aux fins du présent règlement.

\r\n\r\nLes mesures visées au premier alinéa comprennent la participation des membres du personnel ou des personnes se trouvant dans une situation comparable, y compris des agents et distributeurs, à des programmes spécifiques de formation continue visant à les aider à reconnaître les opérations susceptibles d’être liées au blanchiment de capitaux ou au financement du terrorisme et à les instruire sur la manière de procéder en pareil cas. Ces programmes de formation sont adaptés à leurs fonctions ou activités et aux risques de blanchiment de capitaux et de financement du terrorisme auxquels l’entité assujettie est exposée, et sont dûment documentés.".<\/span>, ou bien encore des règles de droit national en matière de lutte contre le blanchiment d'argent et le financement du terrorisme<\/strong>\ud83d\udcce94<\/a><\/sup>CMF, art. L. 561-34, al. 2 : "Dans le même but, elles mettent en place toute action de formation utile." et art. R.561-38-1 : "Les personnes mentionnées à l'article L. 561-2 s'assurent que les personnes participant à la mise en œuvre des obligations prévues au présent chapitre disposent d'une expérience, d'une qualification et d'une position hiérarchique adéquates pour exercer leurs missions. En outre, elles veillent à ce que ces personnes bénéficient de formations adaptées à leurs fonctions ou activités, à leur position hiérarchique ainsi qu'aux risques identifiés par la classification des risques mentionnée à l'article L. 561-4-1 et à ce qu'elles aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. ".<\/span> et de gel des avoirs\ud83d\udcce95<\/a><\/sup>CMF, art. R. 562-1 : "Les personnes mentionnées à l'article L. 561-2 veillent à ce que les personnels qui participent à la mise en œuvre des mesures mentionnées au premier alinéa bénéficient de formations appropriées et aient accès aux informations nécessaires à l'exercice de leurs fonctions ou activités. Les agents mentionnés à l'article L. 523-1 et les personnes auxquelles les établissements de monnaie électronique ont recours en vue de distribuer de la monnaie électronique au sens de l'article L. 525-8 sont assimilés aux personnels des personnes mentionnées à l'article L. 521-1 pour l'application de ces dispositions."<\/span><\/span>. La CS3D<\/strong> mentionne les formations au titre des mesures de soutien qu'un opérateur assujetti doit fournir à un partenaire contractuel qui serait une PME, l'opérateur pouvant ainsi donner accès à des possibilités de formation\ud83d\udcce96<\/a><\/sup>CS3D, art. 10 et 11, rédigés en termes identiques sur ce point, v. pour l'article 10 : "2. Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins: [...] e) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement".<\/span>. Au titre du RGPD<\/strong>, les règles d'entreprise contraignantes doivent notamment comprendre une formation en matière de protection des données personnelles pour les employés ayant un accès permanent ou régulier à de telles données\ud83d\udcce97<\/a><\/sup>RGPD, art. 47, 2. n) : "2.  Les règles d'entreprise contraignantes visées au paragraphe 1 précisent au moins: [...] n) la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.".<\/span>. Le RIA<\/strong> impose quant à lui une obligation générale de maîtrise de l'IA, qui se traduit notamment par l'obligation pour les fournisseurs et déployeurs de prendre des mesures pour garantir, "dans toute la mesure du possible", "un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte"\ud83d\udcce98<\/a><\/sup>RIA, art. 4 : "Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour garantir, dans toute la mesure du possible, un niveau suffisant de maîtrise de l’IA pour leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte, en prenant en considération leurs connaissances techniques, leur expérience, leur éducation et leur formation, ainsi que le contexte dans lequel les systèmes d’IA sont destinés à être utilisés, et en tenant compte des personnes ou des groupes de personnes à l’égard desquels les systèmes d’IA sont destinés à être utilisés.".<\/span> <\/strong>et des obligations de formation, par exemple du fournisseurs à l'égard du déployeur d'un SIA à haut risque\ud83d\udcce99<\/a><\/sup>RIA, art. 9, 5., c) : "5.   Les mesures de gestion des risques visées au paragraphe 2, point d), sont telles que le risque résiduel pertinent associé à chaque danger ainsi que le risque résiduel global lié aux systèmes d’IA à haut risque sont jugés acceptables. Pour déterminer les mesures de gestion des risques les plus adaptées, il convient de veiller à: [...] c) fournir aux déployeurs les informations requises conformément à l’article 13 et, éventuellement, une formation. ".<\/span>. <\/em>Comme le montre l'expression "dans […] la mesure du possible", l'atteinte du résultat visé, c'est à dire que la formation permette d'augmenter les connaissances et compétences des participants afin d'engendrer, dans un second temps, des comportements qui auront un effet positif sur le système, constitue une obligation de moyens. Seule la mise en place d'une formation constitue une obligation de résultat.<\/span> Enfin, en matière de cybersécurité, le règlement DORA<\/strong> impose quant à lui aux entités financières assujetties d'élaborer des "programmes de sensibilisation à la sécurité des TIC" ainsi que des "formations à la résilience opérationnelle numérique" et de les intégrer à leurs programmes de formation du personnel sous forme de modules obligatoires100<\/a><\/sup>Règlement DORA, art. 13, 6. : "6. Les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique qu’elles intègrent à leurs programmes de formation du personnel sous forme de modules obligatoires. Ces programmes et formations sont destinés à tous les employés et aux membres de la direction et présentent un niveau de complexité proportionné à leurs fonctions. Le cas échéant, les entités financières incluent également les prestataires tiers de services TIC dans leurs programmes de formation pertinents conformément à l’article 30, paragraphe 2, point i).".<\/span>. <\/span><\/p>\n

Ainsi, si l'existence de la formation (effectivité) constitue une obligation de résultat, la propension de celle-ci à atteindre le but fixé (efficacité) – en l'occurrence l'acquisition de connaissances par les participants – et à produire dans un second temps des effets sur le système (efficience) relèvent quant à elles d'obligations de moyens.<\/span><\/p>\n

\n

 <\/p>\n<\/div>\n

32. <\/strong>L'obligation de résultat de mettre en place un dispositif de contrôle interne, ou de suivi des mesures <\/strong><\/em>\ud83c\udfafLes entreprises ne doivent pas seulement adopter des "mesures" permettant de détecter, prévenir et le cas échéant remédier aux risques visés par les différents textes de Compliance, elles ont en outre l'obligation de contrôler la production d'effets par celles-ci, afin le cas échéant d'adapter lesdites mesures, les changer ou en adopter de nouvelles. C'est pourquoi les différents textes de Compliance obligent les entreprises à mettre en place des dispositif de suivi des mesures prises. Tel est le cas de la loi "Sapin 2"<\/strong>\ud83d\udcce101<\/a><\/sup>Loi Sapin 2, art. 17, II. "II. - Les personnes mentionnées au I mettent en œuvre les mesures et procédures suivantes : [...] 8° Un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre."<\/span><\/span>, de la loi "Vigilance"<\/strong>\ud83d\udcce102<\/a><\/sup>C. com., art. L.225-102-1 : "[Le plan de vigilance] <\/span>comprend les mesures suivantes : [...] <\/span>5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité"<\/span> ou bien encore de la CS3D103<\/a><\/sup>CS3D, art. 15 : "Les États membres veillent à ce que les entreprises procèdent à des évaluations périodiques de leurs propres activités et mesures, de celles de leurs filiales et, lorsqu’elles sont liées à la chaîne d’activités de l’entreprise, de celles de leurs partenaires commerciaux, afin d’évaluer la mise en œuvre et de contrôler l’adéquation et l’efficacité du recensement, de la prévention, de l’atténuation, de la suppression et de la réduction au minimum des incidences négatives Ces évaluations sont fondées, le cas échéant, sur des indicateurs qualitatifs et quantitatifs et sont réalisées sans retard injustifié après qu’un changement important est intervenu, mais au moins tous les 12 mois et chaque fois qu’il existe des motifs raisonnables de croire que de nouveaux risques liés à ces incidences négatives peuvent survenir. Lorsqu’il y a lieu, la politique en matière de devoir de vigilance, les incidences négatives recensées et les mesures appropriées qui en découlent sont mises à jour en fonction des résultats de ces évaluations et compte dûment tenu des informations pertinentes communiquées par les parties prenantes.".<\/span><\/strong>. L'IA Act<\/strong> prévoit quant à lui une procédure d'évaluation de la conformité fondée sur le contrôle interne, à laquelle doivent recourir certains fournisseurs de SIA à haut risque pour évaluer la conformité de celui-ci\ud83d\udcce104<\/a><\/sup>RIA, art. 43, qui renvoie à l'annexe VI : "1. La procédure d'évaluation de la conformité fondée sur le contrôle interne est la procédure d'évaluation de la conformité décrite aux points 2, 3 et 4.

\r\n\r\n2. Le fournisseur vérifie que le système de gestion de la qualité établi est conforme aux exigences de l'article 17.

\r\n\r\n3. Le fournisseur examine les informations contenues dans la documentation technique afin d'évaluer la conformité du système d'IA aux exigences essentielles pertinentes énoncées au chapitre III, section 2.

\r\n\r\n4. Le fournisseur vérifie également que le processus de conception et de développement du système d'IA et son système de surveillance après commercialisation prévu à l'article 72 sont cohérents avec la documentation technique.".<\/span>. Il en va de même pour le fabricant qui aurait à démontrer la conformité d'un produit comportant des éléments numérique au règlement cyberrésilience<\/strong>\ud83d\udcce105<\/a><\/sup>Règlement cyberrésilience, art. 32.<\/span>. Le règlement DORA impose quant à lui aux entittés financières assujetties de disposer d'un cadre de contrôle interne\ud83d\udcce106<\/a><\/sup>Règlement DORA, art. 5, 1. : "1.  Les entités financières disposent d’un cadre de gouvernance et de contrôle interne qui garantit une gestion efficace et prudente du risque lié aux TIC, conformément à l’article 6, paragraphe 4, en vue d’atteindre un niveau élevé de résilience opérationnelle numérique.".<\/span>. En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong> prévoit que les entreprises assujetties doivent mettre en place des mesures de contrôle interne\ud83d\udcce107<\/a><\/sup>Règlement anti-blanchiment, art. 9 : "1.   Les entités assujetties disposent de politiques, de procédures et de contrôles internes visant à garantir la conformité au présent règlement, au règlement (UE) 2023\/1113 et à tout acte administratif émis par tout superviseur [...]".<\/span>, tout comme le droit national<\/strong>\ud83d\udcce108<\/a><\/sup>CMF, art. L. 561-2, I.  : "I. – Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour lutter contre le blanchiment des capitaux et le financement du terrorisme, tenant compte de l'évaluation des risques prévue à l'article L. 561-4-1. En tenant compte du volume et de la nature de leur activité ainsi que des risques présentés par les relations d'affaires qu'elles établissent, elles déterminent un profil de la relation d'affaires permettant d'exercer la vigilance constante prévue à l'article L. 561-6.".<\/span>, y compris en matière de gel des avoirs\ud83d\udcce109<\/a><\/sup>CMF, art. L. 562-4-1, I. : "I.-Les personnes mentionnées à l'article L. 561-2 mettent en place une organisation et des procédures internes pour la mise en œuvre des mesures de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques prévues au présent chapitre, aux articles L. 712-4 et L. 712-10 et par les règlements européens portant mesures restrictives pris en application des articles 75 ou 215 du traité sur le fonctionnement de l'Union européenne, ainsi que l'interdiction de contournement de ces mesures. Elles veillent à l'application de ces dispositions dans leurs succursales établies en dehors du territoire national.".<\/span>. Le DSA<\/strong> comme le DMA<\/strong> obligent les entreprises assujetties à mettre en place une fonction de vérification de la conformité, chargé d'opérer un contrôle du respect du règlement\ud83d\udcce<\/span>110<\/a><\/sup>DMA, art. 28.<\/span>. Enfin, le règlement déforestation<\/strong> prévoit également la mise en place de mesures de contrôle interne, afin de détecter et prévenir le risque de non-conformité au règlement des produits en cause\ud83d\udcce111<\/a><\/sup>Règlement déforestation, art. 11, 2. : "2.   Les opérateurs mettent en place des stratégies, des contrôles et des procédures suffisants et proportionnés pour atténuer et gérer efficacement les risques détectés de non-conformité des produits en cause. Ces politiques, contrôles et procédures comprennent notamment:

\r\n\r\na)les pratiques en matière de gestion des risques de modèles, la production de rapports, la tenue de registres, le contrôle interne et la gestion de la conformité, y compris la désignation d’un responsable de la conformité au niveau de l’encadrement pour les opérateurs qui ne sont pas des PME;

\r\n\r\nb)une fonction d’audit indépendante chargée de vérifier les stratégies, contrôles et procédures internes visés au point a) pour tous les opérateurs qui ne sont pas des PME.".<\/span>. <\/span><\/p>\n

 <\/div>\n

2. Obligations de résultat secondaires dans la construction et le fonctionnement des structures de Compliance<\/strong><\/span><\/p>\n

 <\/p>\n

33. <\/strong><\/span>Obligation de concertation avec les parties prenantes : exigence de la loi Vigilance et de la CS3D ; absence d'exigence de la CSRD  <\/strong><\/em>\ud83c\udfafAfin de satisfaire son Obligation de Compliance, l'entreprise a besoin d'information. C'est à ce titre qu'il est courant de retrouver dans les textes des incitations, voire des obligations, de dialogue avec les parties prenantes. Ainsi, en matière de vigilance, si en application de la loi française dite "Vigilance"<\/strong> le plan de vigilance "a vocation à être élaboré en association avec les parties prenantes"<\/span>\ud83d\udcce<\/span>112<\/a><\/sup>C. com., art. L.225-102-1 : <\/span>"Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale".<\/span> – ce qui ne signifie pas co-construit – le mécanisme d'alerte qu'il comprend doit quant à lui être élaboré "en concertation avec les organisations syndicales représentatives"<\/span>\ud83d\udcce113<\/a><\/sup>C. com., art. L.225-102-1 : "4° Un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation des risques, établi en concertation avec les organisations syndicales représentatives dans ladite société".<\/span><\/span>, ce qui va plus loin que la simple association et "suppose une transmission d'éléments d'information et un échange de points de vue et de propositions sur la rédaction du contenu et la mise en oeuvre du mécanisme à établir, en vue, et donc en amont, de son élaboration"<\/span>\ud83d\udcce114<\/a><\/sup>CA Paris, La Poste.<\/span>. Dans le même sens, la CS3D<\/strong> impose une association des parties prenantes aux différents stades du devoir de vigilance, de la collecte des informations à l'élaboration d’indicateurs qualitatifs et quantitatifs de suivi\ud83d\udcce115<\/a><\/sup>La proposition de directive dite "content" du "Package Omnibus I" réduirait les étapes concernées par cette obligation, en n'imposant désormais plus d'association pour la décision de suspension ou de rupture d'une relation commerciale et pour l"élaboration d’indicateurs qualitatifs et quantitatifs de suivi.<\/span>. L'entreprise a ainsi l'obligation de "mener des échanges constructifs avec les parties prenantes"\ud83d\udcce116<\/a><\/sup>CS3D, art. 5, 1., e) : "mener des échanges constructifs avec les parties prenantes conformément à l’article 13"<\/span> et de prendre des "mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes"\ud83d\udcce117<\/a><\/sup>CS3D, art. 13, 1 : "Les États membres veillent à ce que les entreprises prennent des mesures appropriées pour mettre en place des échanges efficaces avec les parties prenantes, conformément au présent article."<\/span>. De manière plus spécifique, le texte prévoit que la "politique en matière de devoir de vigilance" est "élaborée après concertation avec les salariés de l’entreprise et leurs représentants"\ud83d\udcce118<\/a><\/sup>CS3D, art. 7, 2. : "2. La politique en matière de devoir de vigilance visée au paragraphe 1 est élaborée après concertation avec les salariés de l’entreprise et leurs représentants [...]".<\/span>.<\/span><\/p>\n

Il convient toutefois de souligner que ces diverses obligations de prise en compte, d'association des parties prenantes ne vont pas jusqu'à permettre à celles-ci de décider de la stratégie et de la gestion de l'entreprise, ni même de "co-décider". La distinction entre les shareholders<\/em> et les stakeholders<\/em> demeure. Les parties prenantes sont consultées parce qu'elles matérialisent une partie des intérêts qui sont extérieurs à l'entreprise et qu'on lui demande de connaître et de "prendre en considération".<\/span><\/p>\n

Au contraire, une telle exigence ne figure pas dans la CSRD. Il est en effet essentiel de distinguer l'obligation de faire, de l'obligation de dire, de l'incitation à consulter les parties prenantes. Dans<\/span> la CSRD, il ne s'agit aucunement d'une obligation de faire qui consisterait à consulter les parties prenantes dans l'élaboration du rapport de durabilité, mais simplement, d'une part d'une recommandation d'associer celles-ci dans l'élaboration du rapport<\/span>\ud83d\udcce<\/span>119<\/a><\/sup>Règlement délégué ESRS, ESRS 1, 3.1 : "24. Le dialogue avec les parties prenantes affectées est un élément essentiel pour le processus permanent de vigilance raisonnable de l’entreprise (voir chapitre 4 Vigilance raisonnable) et pour l’évaluation de la matérialité en matière de durabilité. Il est également crucial pour les processus d’identification et d’évaluation des impacts négatifs, réels et potentiels, qui contribuent à leur tour au processus d’évaluation visant à identifier les impacts matériels aux fins de l’information en matière de durabilité (voir section 3.4 de la présente norme).".<\/span>, et d'autre part d'une obligation de dire, qui consiste pour l'entreprise à reporter <\/em>sur la manière dont les intérêts et points de vue des parties prenantes sont "pris en considération par l’entreprise dans sa stratégie et son modèle économique"<\/span>\ud83d\udcce<\/span>120<\/a><\/sup>V. not. règlement délégué ESRS, "Exigence de publication SBM-2 — Intérêts et points de vue des parties prenantes"<\/span><\/span>. En revanche, si les entreprises organisent une telle concertation, ce que de fait elles font, c'est parce qu'elles font usage de leur volonté et non pas pour obéir à la loi121<\/a><\/sup>Pour plus de développements, v. Obligation sur Obligation vaut et A quoi engagent les engagements.<\/span>.<\/div>\n
 <\/div>\n
D'une façon plus générale, les diverses réglementations ne posent pas une consultation des parties prenantes122<\/a><\/sup>RGPD - consultation parties prenantes concerne les autorités publiques (et moins présent)<\/span>

\r\n\r\nIA Act - consultation<\/span> parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nData Act - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDGA - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nR LCBFT - non (1 occurrence dans un considérant)<\/span>

\r\n\r\nD LCBFT  - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nCyberrésilience - consultation parties prenantes concerne les autorités publiques<\/span>

\r\n\r\nDORA - communication aux parties prenantes, donc pas concertation

\r\n\r\n\r\nNIS 2 - concerne les autorités publiques : information des parties prenantes et inclusion de celles-ci dans le plan national <\/span>

\r\n\r\nDSA - concerne les autorités publiques et pas une concertation<\/span>

\r\n\r\nDMA - non<\/span><\/span>. La tendance de certains auteurs à désigner la consultation des parties prenantes comme étant une sorte de règle générale n'est donc pas exacte. Il s'agit davantage d'une pratique mise en place par les organes de direction.<\/div>\n
\n

 <\/p>\n<\/div>\n

34. <\/strong><\/span>Obligation de publicité des structures de Compliance  <\/strong><\/em>\ud83c\udfaf Plusieurs textes de Compliance obligent les entreprises non seulement à adopter des structures de Compliance, mais encore à rendre compte de celles-ci en les exposant dans un document rendu public. Tel est le cas de la loi "Vigilance", qui oblige l'entreprise à publier son plan de vigilance et le compte-rendu effectif de la mise en oeuvre de celui-ci dans son rapport de gestion\ud83d\udcce123<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan de vigilance et le compte rendu de sa mise en œuvre effective sont rendus publics et inclus dans le rapport de gestion mentionné au deuxième alinéa de l'article L. 225-100.".<\/span>. La CS3D impose quant à elle à l'entreprise assujettie de "communiquer publiquement sur le devoir de vigilance", en publiant sur leur site internet une "déclaration annuelle" qui correspond à un "rapport sur les questions couvertes par la […] directive"\ud83d\udcce124<\/a><\/sup>CS3D, art. 5, 1., h) et art. 16.<\/span>.<\/span><\/p>\n

La CSRD impose quant à elle aux entreprises assujetties de publier des informations en matière de durabilité – plus connues sous l'appellation "rapport de durabilité" -, au sein d'une section de leur rapport de gestion125<\/a><\/sup>CSRD, art. 1er.<\/span>. <\/p>\n

On mesure en pratique que les entreprises publient davantage que la loi ne les y contraint, soit qu'elles rendent spontanément disponible des informations qui ne sont que quérables à l'initiative des personnes intéressées, soit qu'elles publient des informations qui pourraient demeurer purement et simplement internes. Il s'agit alors d'une politique volontaire qui leur est propre. <\/p>\n

 <\/p>\n

35. <\/strong><\/span>L'obligation de résultat d'organiser un système interne de sanctions disciplinaires : exigence de la loi "Sapin 2" <\/span> <\/strong><\/em>\ud83c\udfafL'article 17 de la loi dite "Sapin 2"<\/span>126<\/a><\/sup>insérer la disposition de l'article 17 de la loi Sapin 2 sur l'obligation de mettre en place un système de sanction disciplinaire. <\/span><\/span> impose à l'entreprise la mise en place d'un "régime disciplinaire permettant de sanctionner les salariés de la société en cas de violation du code de conduite de la société".<\/span> Il n'y a que la loi "Sapin 2" qui oblige les entreprises à l'adoption d'un tel système de sanction disciplinaire. On observe en pratique que des entreprises ont choisi d'organiser spontanément un tel système pour accroitre l'efficacité d'autres corpus réglementaires.<\/p>\n

 <\/p>\n

3. Obligations de résultat conditionnée à l'apparition d'une situation particulière <\/strong><\/span><\/p>\n

 <\/p>\n

36. <\/strong><\/span>L'obligation de résultat conditionnée de mettre en place des actions adaptées et suivies d'atténuation des atteintes ou des risques d'atteinte : apparition de cette obligation s'il apparaît une perspective d'atteintes graves ou de risques avérés <\/strong><\/em> <\/strong><\/em>\ud83c\udfafLes textes de Compliance sont fondés sur une approche par les risques. Ainsi, une fois que l'entreprise a identifié les risques que le texte en cause cherche à prévenir, notamment via une cartographie de ceux-ci, elle doit agir en considération de ceux-ci. Les textes obligent ainsi les entreprises à adopter des "mesures adaptées", des "mesures appropriées", etc., c'est-à-dire des mesures adéquates et proportionnées au regard des risques qu'elles ont identifiés, afin de prévenir la réalisation de ceux-ci et le cas échéant d'y remédier voire de réparer. C'est donc cette identification première d'un risque, qui déclenche l'obligation d'adoption par l'entreprise assujettie de telles mesures. En outre, si l'adoption et la mise en place de la mesure, le fait qu'elle existe (effectivité), constitue une obligation de résultat, le caractère "adapté" ou "approprié" de celle-ci, c'est à dire sa capacité à atteindre le but fixé (efficacité) et à produire des effets systémiques (efficience), constitue nécessairement une obligation de moyens.<\/span><\/p>\n

La loi dite "Sapin 2" <\/strong>impose aux entreprises de mettre en place un "dispositif de contrôle et d'évaluation interne des mesures mises en œuvre"<\/span>127<\/a><\/sup>Loi Sapin 2, art. 17, I. : "I.-Les présidents, les directeurs généraux et les gérants d'une société employant au moins cinq cents salariés, ou appartenant à un groupe de sociétés dont la société mère a son siège social en France et dont l'effectif comprend au moins cinq cents salariés, et dont le chiffre d'affaires ou le chiffre d'affaires consolidé est supérieur à 100 millions d'euros sont tenus de prendre les mesures destinées à prévenir et à détecter la commission, en France ou à l'étranger, de faits de corruption ou de trafic d'influence selon les modalités prévues au II.".<\/span>. La loi "Vigilance"<\/strong> <\/span>pose que l'entreprise doit prendre des "actions adaptées d'atténuation des risques et de prévention des atteintes graves" et doit organiser le suivi de ces actions128<\/a><\/sup>C. com., art. L. 225-102-1 : "Le plan a vocation à être élaboré en association avec les parties prenantes de la société, le cas échéant dans le cadre d'initiatives pluripartites au sein de filières ou à l'échelle territoriale. Il comprend les mesures suivantes : [...] 3° Des actions adaptées d'atténuation des risques ou de prévention des atteintes graves ; [...] 5° Un dispositif de suivi des mesures mises en œuvre et d'évaluation de leur efficacité.".<\/span>. De nombreux textes européens obligent l'entreprise à prendre des "mesures appropriées" afin de prévenir les risques identifiés. Tel est le cas du règlement déforestation129<\/a><\/sup>Règlement déforestation, art. 11 : "1.  À l’exception des cas où une évaluation du risque effectuée conformément à l’article 10 révèle qu’il existe un risque nul ou seulement négligeable que les produits en cause soient non conformes, l’opérateur, avant de mettre les produits en cause sur le marché ou de les exporter, adopte des procédures et mesures d’atténuation du risque appropriées pour parvenir à un risque nul ou seulement négligeable. Ces procédures et mesures peuvent inclure l’un ou l’autre des éléments suivants:

\r\n\r\na) une demande d’informations, de données ou de documents supplémentaires;

\r\n\r\nb) la réalisation d’enquêtes ou d’audits indépendants;

\r\n\r\nc) l’adoption d’autres mesures ayant trait aux exigences en matière d’informations énoncées à l’article 9.".<\/span>, de la CS3D<\/strong>, qui oblige à prendre des "mesures appropriées" notamment afin de prévenir les "incidences négatives"<\/span>\ud83d\udcce<\/span>130<\/a><\/sup>CS3D, art. 10, 2. : "2.  Les entreprises sont tenues de prendre les mesures appropriées suivantes, selon les besoins:

\r\n\r\na) si nécessaire, en raison de la nature ou de la complexité des mesures requises pour la prévention, élaborer et mettre en œuvre sans retard injustifié un plan d’action en matière de prévention, assorti de calendriers raisonnables et clairement définis pour la mise en œuvre des mesures appropriées et d’indicateurs qualitatifs et quantitatifs permettant de mesurer les améliorations; les entreprises peuvent élaborer leurs plans d’action en coopération avec les initiatives sectorielles ou multipartites; le plan d’action en matière de prévention est adapté aux activités et à la chaîne d’activités des entreprises;

\r\n\r\nb) s’efforcer d’obtenir de la part d’un partenaire commercial direct des garanties contractuelles par lesquelles ce dernier s’engage à respecter le code de conduite de l’entreprise et, en tant que de besoin, un plan d’action en matière de prévention, notamment en instaurant des garanties contractuelles correspondantes de la part de ses partenaires, dans la mesure où leurs activités font partie de la chaîne d’activités de l’entreprise. Lorsque de telles garanties contractuelles sont obtenues, le paragraphe 5 s’applique;

\r\n\r\nc) réaliser les investissements financiers ou non financiers, les ajustements ou les améliorations nécessaires, par exemple dans les installations, les processus et infrastructures de production ou d’autres processus et infrastructures opérationnels;

\r\n\r\nd) apporter les modifications ou améliorations nécessaires au plan d’entreprise, aux stratégies globales et aux activités de l’entreprise, y compris les pratiques en matière d’achat, de conception et de distribution;

\r\n\r\ne) fournir un soutien ciblé et proportionné à une PME qui est un partenaire commercial de l’entreprise, si cela est nécessaire à la lumière des ressources, des connaissances et des contraintes de la PME, y compris en lui donnant accès à des possibilités de renforcement des capacités, de formation ou de mise à niveau des systèmes de gestion ou en facilitant un tel accès et, lorsque le respect du code de conduite ou du plan d’action en matière de prévention compromettrait la viabilité de la PME, en lui fournissant un soutien financier ciblé et proportionné, par exemple un financement direct, des prêts à taux d’intérêt réduit, des garanties quant au maintien de l’approvisionnement ou une aide à l’obtention d’un financement;

\r\n\r\nf) dans le respect du droit de l’Union, y compris du droit de la concurrence, collaborer avec d’autres entités, y compris, le cas échéant, pour renforcer la capacité de l’entreprise à prévenir ou à atténuer l’incidence négative, en particulier lorsque aucune autre mesure n’est appropriée ou efficace.".<\/span>, ou bien encore le RIA<\/strong>, qui au titre du système de gestion des risques mis en place en cas de système d'IA à haut risque impose "l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés"<\/span>\ud83d\udcce<\/span>131<\/a><\/sup>RIA, art. 9, 2. : "2.   Ce système de gestion des risques s’entend comme étant un processus itératif continu qui est planifié et se déroule sur l’ensemble du cycle de vie d’un système d’IA à haut risque et qui doit périodiquement faire l’objet d’un examen et d’une mise à jour méthodiques. Il comprend les étapes suivantes:

\r\n\r\na)l’identification et l’analyse des risques connus et raisonnablement prévisibles que le système d’IA à haut risque peut poser pour la santé, la sécurité ou les droits fondamentaux lorsque le système d’IA à haut risque est utilisé conformément à sa destination;

\r\n\r\nb)l’estimation et l’évaluation des risques susceptibles d’apparaître lorsque le système d’IA à haut risque est utilisé conformément à sa destination et dans des conditions de mauvaise utilisation raisonnablement prévisible;

\r\n\r\nc)l’évaluation d’autres risques susceptibles d’apparaître, sur la base de l’analyse des données recueillies au moyen du système de surveillance après commercialisation visé à l’article 72;

\r\n\r\nd)l’adoption de mesures appropriées et ciblées de gestion des risques, conçues pour répondre aux risques identifiés en vertu du point a).".<\/span>. Toujours au regard des risques identifiés et de manière proportionnée, le RGPD<\/strong> exige du responsable de traitement et de son éventuel sous-traitant de mettre en oeuvre des "techniques et organisationnelles appropriées"<\/span>\ud83d\udcce<\/span>132<\/a><\/sup>RGPD, art. 32, 1. : "1.  Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins:

\r\n\r\na) la pseudonymisation et le chiffrement des données à caractère personnel;

\r\n\r\nb) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement;

\r\n\r\nc) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;

\r\n\r\nd) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.".<\/span>. Le DSA<\/strong> oblige les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne à mettre en place des mesures d'atténuation des risques, désignées comme "mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés"<\/span>\ud83d\udcce<\/span>133<\/a><\/sup>DSA, art. 35 : "1.  Les fournisseurs de très grandes plateformes en ligne et de très grands moteurs de recherche en ligne mettent en place des mesures d’atténuation raisonnables, proportionnées et efficaces, adaptées aux risques systémiques spécifiques recensés conformément à l’article 34, en tenant compte en particulier de l’incidence de ces mesures sur les droits fondamentaux. Ces mesures peuvent inclure, le cas échéant".<\/span>. L'on retrouve là encore l'adoption de telles mesures au regard des risques identifiés et la proportionnalité. Tel est également le cas en matière de lutte contre le blanchiment d'argent et le financement du terrorisme, le règlement européen du 31 mai 2024<\/strong>, qui exige l'adoption de "mesures appropriées" de gestion des risques<\/span>\ud83d\udcce<\/span>134<\/a><\/sup>Règlement anti-blanchiment, art. 10 : "Avant le lancement de nouveaux produits, services ou pratiques commerciales, y compris l’utilisation de nouveaux canaux de distribution et de technologies nouvelles ou en cours de développement, en liaison avec des produits et services nouveaux ou préexistants, ou avant de commencer à fournir un service ou produit existant à un nouveau segment de clientèle ou dans une nouvelle zone géographique, les entités assujetties recensent et évaluent, en particulier, les risques de blanchiment de capitaux et de financement du terrorisme qui y sont liés et prennent des mesures appropriées afin de gérer et d’atténuer ces risques." et art. 20.<\/span>, ou du droit national<\/strong> qui, au titre des obligations de vigilance à l'égard de la clientèle, exigent la mise en place d'une "politique adaptée" aux risques identifiés<\/span>\ud83d\udcce<\/span>135<\/a><\/sup>CMF, art. L. 561-4-1, al. 2 : "A cette fin, elles définissent et mettent en place des dispositifs d'identification et d'évaluation des risques de blanchiment des capitaux et de financement du terrorisme auxquels elles sont exposées ainsi qu'une politique adaptée à ces risques. Elles élaborent en particulier une classification des risques en question en fonction de la nature des produits ou services offerts, des conditions de transaction proposées, des canaux de distribution utilisés, des caractéristiques des clients, ainsi que du pays ou du territoire d'origine ou de destination des fonds.".<\/span>. Enfin, en matière de cybersécurité, les fabricants de produits comportant des éléments numérique doivent disposer de "politiques et procédures appropriées" en application du règlement cyberrésilience<\/strong><\/span>\ud83d\udcce<\/span>136<\/a><\/sup>Règlement cyberrésilience, art. 13, 8. : "[...] Les fabricants disposent de politiques et de procédures appropriées, notamment les politiques de divulgation coordonnée des vulnérabilités mentionnées à l’annexe I, partie II, point 5), pour traiter et corriger les vulnérabilités potentielles du produit comportant des éléments numériques signalées par des sources internes ou externes.".<\/span>, les entités financières doivent déployer des "outils,  […] stratégies et […] procédures appropriés en matière de sécurité des TIC aux termes du règlement DORA<\/strong> et, enfin, en application de la directive NIS 2<\/strong>, les entités essentielles et importantes doivent adopter des "mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information" auxquels elles ont recours<\/span>\ud83d\udcce<\/span>137<\/a><\/sup>Directive NIS 2, art. 21 : "1.   Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences que les incidents ont sur les destinataires de leurs services et sur d’autres services.

\r\n\r\nLes mesures visées au premier alinéa garantissent, pour les réseaux et les systèmes d’information, un niveau de sécurité adapté au risque existant, en tenant compte de l’état des connaissances et, s’il y a lieu, des normes européennes et internationales applicables, ainsi que du coût de mise en œuvre. Lors de l’évaluation de la proportionnalité de ces mesures, il convient de tenir dûment compte du degré d’exposition de l’entité aux risques, de la taille de l’entité et de la probabilité de survenance d’incidents et de leur gravité, y compris leurs conséquences sociétales et économiques.".<\/span>.<\/span><\/p>\n

La mise en place de telles mesures "adaptées" ou "appropriées", le fait qu'elles existent (effectivité), constitue une obligation de résultat. En revanche, la production d'effets par celles-ci qui sont de nature à atteindre les objectifs fixés par la règle (efficacité) et ainsi à affecter le système (efficience), relève quant à elle d'une obligation de moyens. <\/span><\/p>\n

En outre, dès l'instant que la mesure élaborée par l'entreprise assujettie porte effectivement sur la difficulté ou la défaillance identifiée, elle est présumée adaptée. C'est donc à celui qui se prévaudrait de la mesure effectivement adoptée, en alléguant qu'elle est néanmoins inadaptée, de démontrer son inadaptation.<\/span><\/div>\n

 <\/p>\n

37. <\/strong><\/span>L'obligation de résultat conditionnée de transmission ou de non-transmission d'information à des tiers : apparition de cette obligation si l'on est détenteur de l'information  <\/strong><\/em>\ud83c\udfaf En matière de lutte contre le blanchiment d'argent et le financement du terrorisme, les professionnels assujettis ont l'obligation de déclarer à Tracfin les sommes ou opérations portant sur des sommes "dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu'elles proviennent d'une infraction passible d'une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme"<\/span>138<\/a><\/sup>CMF, art. L. 561-15 : "".<\/span>. Les personnes qui n'entreraient pas dans la liste des professionnels assujettis (, etc.) et qui "<\/span>dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux<\/span>"<\/span> ont quant à elle l'obligation d'effectuer une déclaration au procu<\/span>reur pour des opérations dont elles ont connaissance et dont elles savent que les sommes en cause proviennent d'une infraction visée à l'article L. 561-15 du CMF<\/span>139<\/a><\/sup>CMF, art. L. 561-1 : "Les personnes autres que celles mentionnées à l'article L. 561-2 qui, dans l'exercice de leur profession, réalisent, contrôlent ou conseillent des opérations entraînant des mouvements de capitaux, sont tenues de déclarer au procureur de la République les opérations dont elles ont connaissance et qui portent sur des sommes qu'elles savent provenir de l'une des infractions mentionnées à l'article L. 561-15.".<\/span>.<\/span><\/p>\n

Ces obligations de déclaration se déclenchent en raison de la connaissance de la provenance illégale des sommes pour la seconde et de la connaissance, du soupçon ou de l'existence d'indices permettant de soupçonner cette origine illégale pour la première. Dans les deux cas ces obligations n'imposent pas à l'opérateur de rechercher des informations quant à l'origine des fonds. D'autres obligations, notamment de vigilance, l'amèneront pour partie à le faire. Mais ici il n'a pas à chercher à collecter des informations, il n'a pas une obligation de savoir. En revanche, s'il acquiert cette connaissance, ou s'il soupçonne ou devrait soupçonner, en raison des éléments de faits entourant les sommes ou l'opération, que celles-ci présentant un caractère illégal, alors son obligation de déclaration se déclenche.<\/span><\/p>\n

Toutefois, il se peut que cette obligation de déclaration soit bloquée, en ce qu'elle se heurterait à un secret. Ainsi et par exemple, les avocats qui interviennent dans une activité juridictionnelle ou donnent une consultation juridique (à condition que celle-ci ne soit pas fournies à des fins de blanchiment de capitaux ou de financement du terrorisme et\/ou que l'avocat ne sache pas que c'est à cette fin que le client le demande) n'ont pas à effectuer de déclaration<\/span>\ud83d\udcce<\/span>140<\/a><\/sup>CMF, art. L. 561-3, II. : "II. – Les avocats au Conseil d'Etat et à la Cour de cassation, les avocats et les personnes mentionnées au 18° de l'article L. 561-2 dans l'exercice d'une activité mentionnée au I ne sont pas soumis aux dispositions de la section 4 du présent chapitre et de l'article L. 561-25 lorsque l'activité se rattache à une procédure juridictionnelle, que les informations dont ils disposent soient reçues ou obtenues avant, pendant ou après cette procédure, y compris dans le cadre de conseils relatifs à la manière d'engager ou d'éviter une telle procédure, non plus que lorsqu'ils donnent des consultations juridiques, à moins qu'elles n'aient été fournies à des fins de blanchiment de capitaux ou de financement du terrorisme ou en sachant que le client les demande aux fins de blanchiment de capitaux ou de financement du terrorisme.".<\/span>. Le secret, qui constitue une obligation de non-transmission d'information, fait ainsi, par exception, échec à leur obligation de déclaration, c'est à dire de transmission d'information. En outre, ce même secret justifie que, lorsqu'ils interviennent au titre de leur activité de conseil et hors consultation juridique, leur obligation de déclaration soit aménagée : il existe un filtre du bâtonnier, de sorte qu'ils ne transmettent pas l'information directement à Tracfin mais à leur bâtonnier, qui à son tour communiquera l'information à Tracfin s'il estime que les conditions sont réunies<\/span>\ud83d\udcce<\/span>141<\/a><\/sup>CMF, art. L. 561-17, al. 1er : "Par dérogation aux articles L. 561-15 et L. 561-16, l'avocat au Conseil d'Etat et à la Cour de cassation ou l'avocat ou la caisse des règlements pécuniaires des avocats communique la déclaration, selon le cas, au président de l'ordre des avocats au Conseil d'Etat et à la Cour de cassation ou au bâtonnier de l'ordre auprès duquel l'avocat est inscrit ou au bâtonnier de l'ordre auprès duquel est inscrit l'avocat ayant déposé les fonds, effets ou valeurs faisant l'objet de cette déclaration. Dès lors que les conditions fixées à l'article L. 561-3 sont remplies, ces autorités transmettent la déclaration au service mentionné à l'article L. 561-23, dans les délais et selon les modalités définis par décret en Conseil d'Etat.".<\/span>.<\/span><\/p>\n

 <\/p>\n

38. <\/strong>L'obligation de résultat conditionnée d'action sur un contenu illicite : apparition de cette obligation si l'on est détenteur de l'information – le DSA  <\/strong><\/em>\ud83c\udfaf Le DSA commence par poser que les fournisseurs de service de la société de l'information ne sont en principe pas "responsables" du simple transport, de la mise en cache ou de l'hébergement de contenus illicites<\/span>\ud83d\udcce<\/span>142<\/a><\/sup>DSA, art. 4, 5 et 6.<\/span>. L'on retrouve ici la traditionnelle distinction entre l'éditeur et l'hébergeur d'un contenu, le second n'étant en principe pas responsable en raison de celui-ci<\/span>\ud83d\udcce<\/span>143<\/a><\/sup>Pour une présentation des obligations de vigilance des opérateurs assujettis au DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Ces mêmes opérateurs n'ont en outre aucune obligation générale de "surveillance ou de recherche active de faits" illicites<\/span>\ud83d\udcce<\/span>144<\/a><\/sup>DSA, art. 8 : "Les fournisseurs de services intermédiaires ne sont soumis à aucune obligation générale de surveiller les informations qu’ils transmettent ou stockent ou de rechercher activement des faits ou des circonstances révélant des activités illégales.".<\/span>. <\/span><\/p>\n

Toutefois, à partir du moment où l'opérateur assujetti acquiert la connaissance de l'existence d'un contenu illicite, par une injonction d'agir émanant des autorités publiques<\/span>\ud83d\udcce<\/span>145<\/a><\/sup>DSA, art. 9.<\/span> ou par une notification émanant de toute personne<\/span>\ud83d\udcce<\/span>146<\/a><\/sup>DSA, art. 16.<\/span> ou d'un signaleur de confiance<\/span>\ud83d\udcce<\/span>147<\/a><\/sup>DSA, art. 22.<\/span>, il perd le bénéfice de cette exemption de responsabilité et a l'obligation d'agir sur le contenu en cause<\/span>\ud83d\udcce<\/span>148<\/a><\/sup>Pour une présentation complète et détaillée des obligations des opérateurs numériques en lien avec le DSA, v. G. Loiseau, in cet ouvrage.<\/span>. Le déclenchement de son obligation d'agir est ainsi conditionnée à son information préalable, par un tiers, de l'existence d'un contenu illicite. En revanche, le fait pour l'opérateur de procéder "de [sa] propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires" ou de prendre "d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible" ne lui fait pas perdre le bénéfice des exemptions précitées et ne déclenche pas d'obligation d'action<\/span>\ud83d\udcce<\/span>149<\/a><\/sup>DSA, art. 7 : "Les fournisseurs de services intermédiaires ne doivent pas être réputés inéligibles aux exemptions de responsabilité prévues aux articles 4, 5 et 6 du simple fait qu’ils procèdent de leur propre initiative, de bonne foi et avec diligence, à des enquêtes volontaires ou prennent d’autres mesures destinées à détecter, à identifier et à retirer des contenus illicites, ou à rendre l’accès à ces contenus impossible, ou qu’ils prennent les mesures nécessaires pour se conformer aux exigences du droit de l’Union et du droit national conforme au droit de l’Union, y compris les exigences énoncées dans le présent règlement.".<\/span>. <\/span><\/p>\n

 <\/p>\n

39. <\/strong><\/span>L'enjeu majeur de la charge de prouver l'existence de la situation déclenchant l'obligation de résultat <\/strong><\/em>\ud83c\udfafLorsque la situation est constituée, par exemple lorsque l'information est connue, lorsque la sanction est prononcée, l'obligation de compliance est de résultat : l'entreprise doit transmettre l'information ou au contraire ne pas la communiquer, l'établissement doit geler les avoirs. Mais la question est de savoir qui doit prouver l'existence même de cette situation qui déclenche l'obligation de résultat : est-ce celui qui doit agir (transmettre l'information, rendre indisponible l'information, rendre l'indisponible l'avoir, etc.) ou est-ce celui qui veut bénéficier de l'exécution de l'obligation de résultat ? Par exemple l'Autorité de régulation, ou une partie prenante ? Est-ce à eux de démontrer que celui qu'ils désignent comme assujetti à cette obligation était bien dans la situation qui le contraignait ? Ou doit-on considérer que c'est encore à l'entreprise de démontrer qu'elle était dans la situation requise pour agir (et geler par exemple un avoir) ou pour ne pas agir (et par exemple ne transmettre une information car les éléments constituant un soupçon n'étaient pas réunis) ?.<\/p>\n

Parce que nous sommes dans un système libéral, c'est à celui qui prétend que l'entreprise aurait dû agir ou aurait dû ne pas agir de démontrer qu'elle était dans une situation qui avait engendré son obligation (par exemple un fonctionnement objectivement anormal d'un compte bancaire, obligeant l'établissement à opérer des contrôles et à transmettre des informations sur les personnes).<\/p>\n

Parce que les charges de preuve ne sont pas si tranchées en pratique, les entreprises doivent toujours préconstituer la preuve de leurs diligences dans le contrôle des situations dans lesquelles elles sont impliquées (flux d'argent, gestion d'infrastructure impliquant les personnes et la nature) même si la charge de preuve ne leur incombe pas car dans un débat autour d'une Obligation de  Compliance qui se traduit par une action en continu la passivité probatoire n'est pas pour autant adéquate.<\/p>\n

 <\/p>\n

B. LES EFFETS ATTENDUS DU FONCTIONNEMENT DE LA STRUCTURE DE COMPLIANCE, CONSTITUTIFS D'OBLIGATIONS DE MOYENS <\/strong><\/span><\/p>\n

40. <\/span>De Droit, tout ce qui n'est pas une obligation de résultat doit recevoir le statut d'une obligation de moyens <\/em><\/strong>\ud83c\udfafDans un Etat de Droit fondé sur la liberté des personnes, tout ce qui n'est pas une action précise expressément exigée par la loi à la charge des personnes assujetties mais relève d'une mission générale doit être qualifiée d'une obligation de moyens. Cela implique que le fait de ne pas atteindre le résultat immédiatement ne constitue pas un manquement avéré à la prescription légale, la responsabilité de l'assujetti à la loi supposant la démonstration d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

41. <\/strong><\/span>La notion de "diligence raisonnable", expression même de l'obligation de moyens : la CS3D, pointe avancée de l'Obligation de Compliance <\/strong><\/em>\ud83c\udfafLa directive du 13 juin 2024 sur le devoir de vigilance demande aux entreprises assujetties de faire preuve de "diligences raisonnables". Cela suppose qu'au-delà de la mise en place des structures mêmes de compliance, par exemple un plan ou un système d'alerte, et de certaines façons de faire expressément visées, comme la concertation ou la formation, elles doivent agir pour viser à obtenir les effets attendus par le législateur.  Ce dispositif qui consiste à attendre des entreprises des actions qui engendrent des effets orientés vers les buts visés par le législateur lui-même, qui est la ratio legis <\/em>du devoir de vigilance et en fait la "pointe avancée" du Droit de la compliance150<\/a><\/sup>sur le fait que le devoir de vigilance est la "pointe avancée" du Droit de la Compliance, v. mafr....<\/span>, peut donc être généralisé à toutes les obligations de compliance qui ne relèvent pas des 3 catégories d'obligations de résultat précédemment décrites151<\/a><\/sup>Les obligations de résultat de plano <\/em>visant à mettre en place la structure de compliance (n°00), les obligations de résultat secondaire visant à organiser la construction ou le fonctionnement de cette structure (n°00), les obligations de résultat conditionnées qui ne se déclenchent que lorsqu'une situation particulière apparaît (n°00).<\/span>.<\/p>\n

 <\/p>\n

42. <\/strong><\/span>L'exemple de l'obligation de formation <\/strong><\/em>\ud83c\udfafLa formation est une obligation essentielle engendrée par le Droit de la Compliance152<\/a><\/sup>mafr, La formation, contenant et contenu...., in ....<\/span>. Dans sa part de structure, c'est-à-dire son organisation matérielle, la présence d'enseignants, la tenue des cours, le nombre d'heures, la sollicitation d'apprenants visés, l'existence de contrôles, etc., il s'agit d'une obligation de résultat. Mais quant à savoir si ceux-ci ont compris ce qui leur a inculqué, ce qui relève de l'efficacité, cela ne peut plus qu'être une obligation de moyens. Quant au bénéfice sur l'ensemble du système, pour accroître la probité générale ou la protection de l'écosystème sur lequel chacun doit veiller, cela relève plus encore de l'obligation de moyens. Cette articulation a des effets sur l'organisation probatoire car les moyens de preuve sont ici plus aisés pour satisfaire l'obligation de résultat que pour satisfaire l'obligation de moyens153<\/a><\/sup>pour plus de développement, mafr, l'entreprise, la preuve, ....<\/span>. Elle en a aussi sur la sanction d'une inexécution car la responsabilité de l'entreprise est engagée si elle n'a pas mis en place les formations mais elle ne l'est pas si les personnes présentes n'ont pas compris.<\/p>\n

 <\/p>\n

43. <\/strong><\/span>L'organisation libre des outils essentiels pour remplir son Obligation de Compliance: exemples de l'enquêtes interne <\/strong><\/em>\ud83c\udfafParce que les obligations ne résultat ne concernent que la mise en place des structures de compliance, les obligations secondaires de leur fonctionnaire et les conséquences mécaniques de l'apparition de certaines situations154<\/a><\/sup>Sur ces trois sortes d'obligations de résultat, v.supra <\/em>n°00 et s., n°00 et s. et n°00 et s.<\/span>, les entreprises choisissent la façon dont ces plans, programmes, audit, formations, évaluations, etc., doivent être organisés. Cette liberté est la corrélation de l'obligation de moyens qu'est la leur. Est exemplaire de cela la technique de l'enquête interne155<\/a><\/sup>Ainsi l'enquête interne n'est pas l'objet d'une obligation de compliance à proprement parler. C'est un moyen spontanément mis en place par les entreprises pour satisfaire son obligation de compliance, par exemple de lutte contre la corruption. Pour une description de son usage dans un groupe international, v. par ex. O. ..., in <\/em>mafr, Compliance et droit de la défense..., <\/em>2024.<\/span>.  Celle-ci est organisée librement par les entreprises et si celles-ci doivent être améliorées, comme les informations qui en résultent doivent être mieux protégées156<\/a><\/sup>Sur l'ensemble de ces questions qui sont avant tout des questions probatoires, impliquant directement les droits de la défense, v. <\/span>,<\/p>\n

 <\/p>\n

44. <\/strong><\/span>La référence majeure au droit commun de la responsabilité <\/strong><\/em>\ud83c\udfafAinsi, dès l'instant qu'on ne se trouve pas dans une obligation structurelle visée par la loi (établissement d'un plan, d'un système d'alerte, etc.), comme le dit expressément la loi du 23 mars 2017sur le devoir de vigilance et comme cela doit s'appliquer pour toutes les manifestations techniques de l'Obligations de Compliance, les conditions du droit commun de la responsabilité s'appliquent : une faute ou une négligence doit être relevée pour que la responsabilité soit engagée. Une fois la structure de compliance est mise en place, l'on ne peut demander qu'ici et maintenant le but soit atteint. L'on peut demander que des diligences raisonnables soient accomplies, cela et pas plus que cela. Comme la structure de compliance et son fonctionnement ne prennent sens qu'au regard des Buts Monumentaux pour la concrétisation desquels tous ces dispositifs systémiques ont été mis en place, il faut que ces diligences produisent des effets qui concrétisent au fur et à mesure du temps des effets qui donnent une crédibilité à une trajectoire qui relie en probabilité la structure mise en place et l'ambition exprimée<\/strong> (probité ancrée ; équilibre climatique assuré, égalité atteinte,  etc.).  Ce point sera développé par la suite157<\/a><\/sup>III. B. (mettre le titre) ; n°00 et s.<\/span>.<\/p>\n

Il résulte de ce système de compliance que l'obligation première des entreprises est donc de nature probatoire et tient dans le dessin qui se trace au jour le jour de cette trajectoire entre la structure mise en place et ces Buts Monumentaux. Si les entreprises maîtrisent les contours de cette obligatoire probatoire, elles maîtriseront mieux en conséquence la responsabilité Ex Ante qui leur incombe en évitant la responsabilité Ex Post démesurée que certains voudront voir fondre sur elles.<\/p>\n

5III.L'APPRÉCIATION DU COMPORTEMENT DES ENTREPRISES ASSUJETTIES DANS L'EXÉCUTION DE LEUR OBLIGATION DE COMPLIANCE<\/strong><\/u><\/span><\/p>\n

 <\/p>\n

45. (annonce de plan)<\/strong><\/span>  <\/strong><\/em>\ud83c\udfaf L’étude des multiples obligations de compliance exposée ci-avant permet de faire ressortir des traits communs à celles-ci, permettant de cerner l’Obligation de Compliance. Il en résulte que celle-ci est en premier lieu une obligation probatoire mise à la charge des entreprises assujetties (A<\/strong>). Cela ne signifie pas qu’elle serait purement « formelle ». Cela signifie qu’elle impose à l’entreprise d’être en mesure de prouver qu’elle a mis en place les structures de Compliance exigées par la Loi et qu’elle a fait ses meilleurs efforts pour obtenir les comportements recherchés. Cela a des conséquences directes sur la responsabilité des entreprises assujetties (B<\/strong>).<\/span><\/p>\n

 <\/p>\n

46. <\/strong><\/span>Le plus important : les obligations de moyens et non les obligations de résultat   <\/strong><\/em>\ud83c\udfafLes multiples obligations de résultat qui sont imposées par les textes pour mettre en place les structures de compliance et les faires fonctionner n'ont de sens que pour obtenir des effets, et notamment des comportements, qui soient efficaces et efficients au regard des Buts Monumentaux de la Compliance : éradiquer le blanchiment, rééquilibrer le climat, instaurer l'égalité entre les êtres humains, etc. Ce chemin, cette trajectoire, entre les structures mises en place (plan, programme, alerte, évaluation, etc.) et ces ambitions, est jalonnés d'obligations qui ne peuvent être que des obligations de moyens mais ce sont ces obligations de moyens qui sont les plus importantes puisque ce sont elles qui portent les changement (la baisse de la criminalité systémique sous-jacente au blanchiment, la fin des harcèlements, le respect de la vérité et des êtres humains, la reconnaissance de ce que la nature nous apporte).  C'est donc ces obligations-la, obligations de moyens, qui sont les plus importantes. Les obligations de résultat n'existent que pour que les obligations de moyens puissent exister à leur tour.<\/p>\n

 <\/p>\n

A. L'OBLIGATION DE COMPLIANCE, AVANT TOUT UNE OBLIGATION PROBATOIRE À LA CHARGE DES ENTREPRISES ASSUJETTIES PAR LA LOI<\/span><\/strong><\/p>\n

47. <\/strong><\/span>L'obligation de compliance : essentiellement une obligation probatoire  <\/strong><\/em>\ud83c\udfafL'Obligation de Compliance est donc avant tout une obligation probatoire. Quelque soit sa place processuelle, l'entreprise doit montrer qu'elle a mis en place de plano <\/em>la structure de compliance que lui impose les lois et réglementation ainsi que les mécanismes qu'au sein de celle-ci ces mêmes sources prévoient. De la même façon, parce que l'entreprise est assujettie à l'Obligation de Compliance, qui s'illustre ensuite dans une multitude d'obligations techniques, de diverses natures (légales, contractuelles, éthiques, etc.) l'entreprise doit montrer qu'elle existent l'obligation de moyens qui lui fait aller de cette obligation de résultat de mise en place de la structure de compliance à l'accomplissement des buts monumentaux fixés par le législateur (au sens formel).<\/p>\n

Mais la difficulté en est grave car l'essentiel est bien la réalisation des Buts Monumentaux, c'est-à-dire le futur, ce qui constitue un objet probatoire à première vue inaccessible (1<\/strong><\/span>) ; c'est pourquoi l'objet de preuve ne peut être la concrétisation des Buts Monumentaux mais la crédibilité de leur atteindre (2<\/strong><\/span>).<\/p>\n

 <\/p>\n

1. Une obligation probatoire e difficile à satisfaire <\/strong><\/span><\/p>\n

 <\/p>\n

48. <\/strong><\/span>Une obligation probatoire délicate : comment prouver l'efficacité d'une structure ?   <\/strong><\/em>\ud83c\udfafCela est assez aisé pour l'entreprise lorsqu'il s'agit d'une obligation de résultat. Par exemple, elle produira le plan publié, la cartographie des risques établie, les évaluations menées. Mais cela est beaucoup plus difficile pour les obligations de moyens. Tout d'abord, l'entreprise doit prouver que par la structure mise en place elle a obtenu des effets, c'est-à-dire prouver l'efficacité des structures. L'exemple a été pris de la formation qui non seulement doit se tenir (résultat) mais encore doit apprendre aux personnes à avoir un comportement adéquat. C'est au sein même des entreprises que l'apprentissage probatoire doit se faire car c'est ensuite à travers ceux qui ont appris ceux qui ont mis en place la structure d'apprentissage que l'on juge.<\/p>\n

Cela est d'autant plus difficile qu'une partie ne pouvant se prévaloir de preuves qu'elle s'est fabriquée seule à son bénéfice158<\/a><\/sup>Sur cette difficulté probatoire pour l'entreprise de ne pouvoir se fabriquer des preuves alors que l'objet de preuve qui lui est imposé est l'efficacité de son propre comportement, v. Thibaud Goujon-Béthan (on va voir quel article mettre....).<\/span>, l'entreprise doit toujours procéduraliser l'établissement de ses preuves, recourant notamment à des tiers de confiance, ce qui contribue à la constitution d'un "marché" florissant de la compliance et à la multiplication de ces obligations.<\/p>\n

 <\/p>\n

49. <\/strong><\/span>Un objet probatoire inatteignable : comment prouver demain ? Les engagements comme solution procédurale alternative   <\/strong><\/em>\ud83c\udfafL'obligation probatoire paraît insupportable lorsqu'on prétend exiger de l'entreprise qu'elle ait l'obligation de prouver ici et maintenant que demain elle aura atteint les Buts Monumentaux pour la réalisation desquels on lui impose ce carrousel d'obligations de compliance. Car l'on ne peut pas connaître demain et l'on ne peut pas apporter une telle preuve. L'on ne peut qu'affirmer qu'on fera tout pour : cela existe qu'actuellement les "engagements" tendent à remplacer les preuves parce qu'un engagement peut porter sur le futur, ce que ne peut faire une preuve. <\/p>\n

Mais l'engagement comporte lui-même ses limites, notamment en ce qu'il est distinct du contrat159<\/a><\/sup>mafr, Engagement, ..., in L'obligation de compliance<\/span>. C'est pourquoi il n'est inséré comme remède qu'à travers un autre outil, soit un contrat en bonne et due forme160<\/a><\/sup>mafr (dir.), Compliance et contrat<\/em>, 2025.<\/span>, soit comme mode alternative des poursuites, la CJIP ou la CRPC étant un engagement de compliance qui remplace alors la preuve et prend directement prise sur le futur. <\/p>\n

 <\/p>\n

50. <\/strong><\/span>Le déplacement d'objet de preuve : prouver que l'entreprise fera effectivement demain ce que ses représentants disent aujourd'hui   <\/strong><\/em>\ud83c\udfafCela produit alors un déplacement d'objet de preuve : l'entreprise doit prouver qu'elle fera bien demain ce qu'elle dit qu'elle fera. Il y a de multiples moyens pour satisfaire une telle charge de preuve. L'on peut se suffire de l'éthique. Ou de la pression des marchés, si l'entreprise y est exposée, ou des investisseurs et prêteurs, si l'entreprise y est exposée, ou de l'opinion publique, si l'entreprise y est exposée et sensible. <\/p>\n

Si l'on ne s'en contente pas, il faudra que les engagements prennent une forme plus juridique, c'est-à-dire celle du contrat, l'arbitrage international pouvant ici prendre une place essentielle161<\/a><\/sup>E. Silva-Romero, article à venir, in L'obligation de compliance.<\/span>. L'insertion de tiers de confiance, de moniteurs notamment, va également dans ce sens. L'externalisation d'un budget ad hoc <\/em>est aussi un moyen de prouver que cela sera fait. Le croisement des deux, c'est-à-dire un budget par avance à un tiers peut relever d'une technique probante.<\/p>\n

Si les tiers qui sont donc présents en permanence dans le futur sont désignés par un juge, cela mettra en continuum l'obligation probatoire, reflet de l'Obligation de Compliance qui elle-même est en continuum  puisqu'elle a pour objet : cela est logique, puisque la première est au cœur de la seconde. Cela conforte l'obligation managériale pour les entreprises de constituer en continu le dossier probatoire de leurs diligences, les mises en cause judiciaire n'étant pas des à-coup mais une pointe dans cette culture probatoire usuelle à développer162<\/a><\/sup>dans ce sens, mafr, preuve..., in La juridictionnalisation....<\/span>.<\/p>\n

 <\/p>\n

2. La constitution d'une preuve d'une trajectoire crédible dans les effets produits par la structure de compliance au regard des buts poursuivis par le Législateur<\/strong><\/span><\/p>\n

51. <\/strong><\/span>La trajectoire, objet central de l'obligation probatoire    <\/strong><\/em>\ud83c\udfafComme l'a affirmé le Conseil d'\u00c9tat dans ses arrêts Grande-Synthe <\/em>et le Tribunal administratif de Paris dans son jugement …, l'assujetti doit montrer que la structure et les comportements passés et présents attestent d'une "trajectoire" qui permet de penser que, sauf événement contraire que nul ne peut évoquer sans preuve (par exemple la faillite de l'entreprise), le déroulement du temps futur amènera aux finalités visées au départ. La trajectoire, indissociable de la technique du plan, replace le juge dans une position Ex Ante ; <\/em>cela explique notamment pourquoi le juge des procédures collectives est par nature familier du Droit de la Compliance, puisqu'il manie les plans, les engagements et les trajectoires dans la perspective d'un objectif de redressement163<\/a><\/sup>V. dans ce sens J.-B. Barbieri, .., in L'obligation de compliance<\/span>. <\/p>\n

 <\/p>\n

52. <\/strong><\/span>La crédibilité de la trajectoire, objet d'un faisceau d'indices    <\/strong><\/em>\ud83c\udfafC'est à l'entreprise de montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets qui, par le développements du temps et parce que l'entreprise ne changera pas sa stratégie, permet d'atteindre les objectifs. Cette crédibilité doit être produite par tous les éléments probants que l'entreprise doit ou peut constituer (elle peut en effet être empêcher de les constituer, notamment parce que des informations sont interdites à l'accès ou à la production). A cela s'ajoute le pouvoir d'instruction des juges, qui peuvent nommer des experts ou recourir à des amici curiae.<\/em><\/p>\n

 <\/p>\n

53. <\/strong><\/span>Le "raisonnable", pendant du "crédible"    <\/strong><\/em>\ud83c\udfafL'appréciation qui est faite de cette crédibilité par les parties prenantes et in fine <\/em>par le juge doit être raisonnable. Par exemple il est raisonnable de penser que l'entreprise ne changera pas sa stratégie. La notion de "raisonnable" 164<\/a><\/sup>Perelman, Le raisonnable .... <\/em>Sur la notion de "raisonnable" et de "déraisonnable", voir à la suite de travaux de Perelman les travaux du centre de logique de Bruxelles....

\r\n\r\nV. aussi sous l'angle plus particulièrement probatoire, du même centre, La preuve....<\/em><\/span> <\/strong>est centrale dans la conception que Perelman a de l'office du juge qui statue selon des standards et éprouve les affirmations d'une façon raisonnable en présence de divers cercles d'auditoires, ce qui correspond ici aux différents cercles de parties prenantes auxquelles l'entreprise rend des comptes165<\/a><\/sup>mafr, L'obligation processuelle, prototype de l'obligation de compliance, in L'obligation de compliance.<\/span>.. <\/p>\n

 <\/p>\n

54. <\/strong><\/span>Renversement possible de la preuve, si la preuve est apportée du caractère non-crédible de la trajectoire    <\/strong><\/em>\ud83c\udfafUne fois cela établi, et établi en continu, l'entreprise donnant à savoir sa structure de compliance et la trajectoire concrétisée par les effets produits par celle-ci, notamment dans les comportements engendrés, doit montrer qu'elle suit une trajectoire qui à partir de la structure de compliance qu'elle a mise en place produit des effets, elle a satisfait sa charge de preuve.<\/p>\n

C'est alors aux personnes qui n'en sont pas satisfait d'alléguer que l'Obligation de Compliance n'a pas été exécutée. Par exemple qu'un plan n'a pas été adopté. Ou qu'une trajectoire n'est pas crédible. La charge de prouver cela repose que la personne qui formule une telle allégation. Si des faits alimentent une telle allégation, alors la responsabilité de l'entreprise pourra être engagée.<\/p>\n

 <\/p>\n

 <\/p>\n

B. LA RESPONSABILITÉ DES ENTREPRISES ENGENDRÉE PAR L'OBLIGATION DE COMPLIANCE<\/strong><\/span><\/p>\n

 <\/p>\n

55. <\/strong><\/span>Une responsabilité ex ante, comme charge d'une ambition politique pour le futur  <\/strong><\/em>\ud83c\udfaf Les entreprises sont aujourd'hui, de force ou de gré en charge des grandes missions sociétales face à un avenir incertain. C'est à ce titre qu'on a pu comparaître l'Obligation de Compliance et la puissance qui en résulte166<\/a><\/sup>mafr, Concevoir le pouvoir, 2021 ; L'usage de la puissance privée pour mieux servir.., 2024.<\/span> à une délégation de la puissance publique167<\/a><\/sup>A. Rouyère, Compliance, délégation de puissance publique, 2024.<\/span>. La responsabilité est alors synonyme de pouvoir légitime\ud83d\udcce<\/span> 168<\/a><\/sup>Notamment illustrée par la Compliance environnementale, mafr, La Compliance environnementale...; la responsabilité liée à la compliance environnementale....<\/span> attachée à une situation particulière impliquant une action, et en rien à une sanction, qui interviendra au regard du passé, alors qu'il s'agissait de prendre en charge une façon d'agir pour faire en sorte que l'avenir, qui est l'objet du Droit de la Compliance, soit selon une volonté précédemment exprimée169<\/a><\/sup>sur cette idée même de responsabilité ex ante, mafr, La responsabilité ex ante, pilier du Droit de la Compliance, 2022 ; sur la place des volontés dans l'élaboration de l'Obligation de Compliance, mafr, Le calcul, le coeur, ... ; Volonté sur volonté vaut ..., in L'obligation de compliance <\/em>, 2024.<\/span>. Mais lorsqu'une personne demande l'engagement de la responsabilité d'une entreprise devant un juge170<\/a><\/sup>Sur l'aptitude à demander l'engagement d'une telle responsabilité, v. mafr, Obligation processuelle.....<\/span>, il faut qu'elle apporte la preuve d'une violation d'une obligation de compliance.<\/p>\n

 <\/p>\n

1. La responsabilité civile engagée en cas de l'absence de structures mises en place ou de structures inaptes à engendrer tout effet crédible au regard des buts monumentaux visés par la loi<\/strong><\/span><\/p>\n

56. <\/strong><\/span>Avant tout comportement, une responsabilité retenue  ex ante en l'absence de structure de compliance crédible  <\/strong><\/em>\ud83c\udfaf S'il apparaît que l'entreprise n'a pas mis en place l'un des éléments structurels de l'obligation de compliance, qui sont pourtant autant pour elle autant d'obligations de résultat auxquelles les textes l'assujettissent, sa responsabilité sera engagée. Cela sera d'autant plus aisée que les textes prévoient souvent précisément les modalités, notamment les délais (par exemple concernant le plan de vigilance), la crédibilité et le caractère raisonnable des diligences dans cette mise en place étant appréciés selon les standards usuels.<\/p>\n

 <\/p>\n

2. <\/strong>La démonstration nécessaire d'une faute ou la négligence pour engager la responsabilité de l'assujetti à une obligation qui demeure par principe une obligation de moyens<\/strong><\/em><\/span><\/p>\n

57. <\/strong><\/span>La nécessité d'un fait générateur <\/strong><\/em>\ud83c\udfaf Si la structure de compliance a été mise en place, et les obligations de résultat qui l'entourent accomplies171<\/a><\/sup>V. supra <\/em>n°00 et s.<\/span>, et qu'une trajectoire crédible se déploie au regard des Buts Monumentaux de la Compliance (la crédibilité étant une forme de preuve172<\/a><\/sup>V.supra <\/em>n°00  et s.<\/span>) alors la responsabilité de l'entreprise ne peut pas être engagée faute de fait générateur. Pour qu'elle ne soit, il faut que celui qui l'allègue apporte la preuve d'une faute ou d'une négligence.<\/p>\n

 <\/p>\n

58. <\/strong><\/span>L'absence de responsabilité spéciale <\/strong><\/em>\ud83c\udfaf En cela, et comme le rappelle expressément la loi de 2017 sur le devoir de vigilance, ce à quoi la Directive du 13 juin 2024 ne déroge pas, la responsabilité qui peut frapper l'assujetti relève du droit commun de la responsabilité. Il ne suffit pas qu'existe une obligation spéciale de compliance, qui consiste donc pour certaines personnes juridiques173<\/a><\/sup>par exemple les entreprises bancaires, financières, énergétiques, numériques, etc. Voir à ce propos (mettre les contributions sur les opérateurs sectoriels), in L'obligation de compliance.<\/em><\/span>, que cela engendre pour autant une responsabilité spéciale. Une responsabilité spéciale se caractérise par un régime spéciale. S'il fallait qu'à chaque obligation spéciale (il y a des centaines) soit attachée une responsabilité spéciale, le droit commun de la responsabilité n'existerait plus174<\/a><\/sup>Sur la défense de l'idée même d'un "principe général", v; G. Viney (in Mélanges Catala)<\/span>.<\/p>\n

 <\/p>\n

59. <\/strong><\/span>Conclusion<\/strong>. L'Obligation de Compliance, obligation unifiée et spéciale <\/strong><\/em>\ud83c\udfaf Il apparait ainsi que certains sujets sont, de par leur position, c'est-à-dire leur puissance, leurs informations, leurs technologies, leur implantation, soumis à une Obligation de Compliance qui consiste toujours à construire une structure de compliance produisant des effets crédibles au regard des buts monumentaux visés par le Législateur.<\/p>\n

________<\/p>\n

________<\/p>\n

\n","protected":false},"excerpt":{"rendered":"

This article explains the Compliance Obligations of companies. Delving into the mass of compliance obligations, it uses the method of […]<\/p>\n","protected":false},"author":3,"featured_media":66838,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[36290,43534],"tags":[37168,37640,38628,38984,39000,39110,39144,39192,39194],"type_de_fiche":[36674],"matiere":[36740,36742,36746],"class_list":["post-113001","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cv-economic-law-publications","category-working-papers","tag-effectiveness","tag-a-supprimer-37640","tag-efficiency","tag-monumental-goals","tag-compliance-law","tag-compliance-obligation","tag-compliance-contract","tag-obligation-of-means","tag-obligation-of-result","type_de_fiche-working-papers","matiere-economic-law-regulation-and-compliance","matiere-justice-and-procedure","matiere-philosophy-theory-and-sociology-of-law"],"acf":[],"yoast_head":"\n\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr\" \/>\n<meta property=\"og:description\" content=\"This article explains the Compliance Obligations of companies. Delving into the mass of compliance obligations, it uses the method of […]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/\" \/>\n<meta property=\"og:site_name\" content=\"mafr\" \/>\n<meta property=\"article:published_time\" content=\"2024-03-06T12:00:00+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-09-23T12:06:03+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"2560\" \/>\n\t<meta property=\"og:image:height\" content=\"1920\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Matthieu Cholin\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Matthieu Cholin\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"387 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/\"},\"author\":{\"name\":\"Matthieu Cholin\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#\\\/schema\\\/person\\\/dd859d9af030febaecc5ccb5225ab330\"},\"headline\":\"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator\",\"datePublished\":\"2024-03-06T12:00:00+00:00\",\"dateModified\":\"2026-09-23T12:06:03+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/\"},\"wordCount\":77483,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#\\\/schema\\\/person\\\/02f69687b30aec6fc6b83610279d8bea\"},\"image\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/mafr-import\\\/media\\\/mafr\\\/assets\\\/fotolia\\\/but-3-scaled.jpeg\",\"keywords\":[\"Effectiveness\",\"A SUPPRIMER : Efficacit\u00e9 (tag anglais vid\u00e9)\",\"Efficiency\",\"Monumental Goals\",\"Compliance Law\",\"Compliance Obligation\",\"Compliance Contract\",\"Obligation of means\",\"Obligation of result\"],\"articleSection\":[\"Publications Related to Economic Law and Regulatory and Compliance Law\",\"Working papers\"],\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/\",\"url\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/\",\"name\":\"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/mafr-import\\\/media\\\/mafr\\\/assets\\\/fotolia\\\/but-3-scaled.jpeg\",\"datePublished\":\"2024-03-06T12:00:00+00:00\",\"dateModified\":\"2026-09-23T12:06:03+00:00\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#breadcrumb\"},\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#primaryimage\",\"url\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/mafr-import\\\/media\\\/mafr\\\/assets\\\/fotolia\\\/but-3-scaled.jpeg\",\"contentUrl\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/mafr-import\\\/media\\\/mafr\\\/assets\\\/fotolia\\\/but-3-scaled.jpeg\",\"width\":2560,\"height\":1920},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/building-compliance-structure-credible-effects\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Publications\",\"item\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Working papers\",\"item\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/publications\\\/working-papers\\\/\"},{\"@type\":\"ListItem\",\"position\":4,\"name\":\"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#website\",\"url\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/\",\"name\":\"MAFR\",\"description\":\"Marie-Anne Frison-Roche\",\"publisher\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#\\\/schema\\\/person\\\/02f69687b30aec6fc6b83610279d8bea\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"en-US\"},{\"@type\":[\"Person\",\"Organization\"],\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#\\\/schema\\\/person\\\/02f69687b30aec6fc6b83610279d8bea\",\"name\":\"Marie-Anne Frison-Roche\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/Marie-Anne-Frison-Roche.jpg\",\"url\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/Marie-Anne-Frison-Roche.jpg\",\"contentUrl\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/Marie-Anne-Frison-Roche.jpg\",\"width\":696,\"height\":696,\"caption\":\"Marie-Anne Frison-Roche\"},\"logo\":{\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/wp-content\\\/uploads\\\/2026\\\/09\\\/Marie-Anne-Frison-Roche.jpg\"}},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/www.mafr.fr\\\/en\\\/#\\\/schema\\\/person\\\/dd859d9af030febaecc5ccb5225ab330\",\"name\":\"Matthieu Cholin\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g\",\"caption\":\"Matthieu Cholin\"}}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/","og_locale":"en_US","og_type":"article","og_title":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr","og_description":"This article explains the Compliance Obligations of companies. Delving into the mass of compliance obligations, it uses the method of […]","og_url":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/","og_site_name":"mafr","article_published_time":"2024-03-06T12:00:00+00:00","article_modified_time":"2026-09-23T12:06:03+00:00","og_image":[{"width":2560,"height":1920,"url":"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg","type":"image\/jpeg"}],"author":"Matthieu Cholin","twitter_card":"summary_large_image","twitter_misc":{"Written by":"Matthieu Cholin","Est. reading time":"387 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#article","isPartOf":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/"},"author":{"name":"Matthieu Cholin","@id":"https:\/\/www.mafr.fr\/en\/#\/schema\/person\/dd859d9af030febaecc5ccb5225ab330"},"headline":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator","datePublished":"2024-03-06T12:00:00+00:00","dateModified":"2026-09-23T12:06:03+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/"},"wordCount":77483,"commentCount":0,"publisher":{"@id":"https:\/\/www.mafr.fr\/en\/#\/schema\/person\/02f69687b30aec6fc6b83610279d8bea"},"image":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg","keywords":["Effectiveness","A SUPPRIMER : Efficacit\u00e9 (tag anglais vid\u00e9)","Efficiency","Monumental Goals","Compliance Law","Compliance Obligation","Compliance Contract","Obligation of means","Obligation of result"],"articleSection":["Publications Related to Economic Law and Regulatory and Compliance Law","Working papers"],"inLanguage":"en-US","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/","url":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/","name":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator - mafr","isPartOf":{"@id":"https:\/\/www.mafr.fr\/en\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#primaryimage"},"image":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg","datePublished":"2024-03-06T12:00:00+00:00","dateModified":"2026-09-23T12:06:03+00:00","breadcrumb":{"@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#breadcrumb"},"inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/"]}]},{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#primaryimage","url":"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg","contentUrl":"https:\/\/www.mafr.fr\/wp-content\/uploads\/mafr-import\/media\/mafr\/assets\/fotolia\/but-3-scaled.jpeg","width":2560,"height":1920},{"@type":"BreadcrumbList","@id":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/building-compliance-structure-credible-effects\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.mafr.fr\/en\/"},{"@type":"ListItem","position":2,"name":"Publications","item":"https:\/\/www.mafr.fr\/en\/publications\/"},{"@type":"ListItem","position":3,"name":"Working papers","item":"https:\/\/www.mafr.fr\/en\/publications\/working-papers\/"},{"@type":"ListItem","position":4,"name":"\ud83d\udea7Compliance Obligation: build a compliance structure producing credible effects in the perspective of the Monumental Goals targeted by the Legislator"}]},{"@type":"WebSite","@id":"https:\/\/www.mafr.fr\/en\/#website","url":"https:\/\/www.mafr.fr\/en\/","name":"MAFR","description":"Marie-Anne Frison-Roche","publisher":{"@id":"https:\/\/www.mafr.fr\/en\/#\/schema\/person\/02f69687b30aec6fc6b83610279d8bea"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mafr.fr\/en\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"en-US"},{"@type":["Person","Organization"],"@id":"https:\/\/www.mafr.fr\/en\/#\/schema\/person\/02f69687b30aec6fc6b83610279d8bea","name":"Marie-Anne Frison-Roche","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/www.mafr.fr\/wp-content\/uploads\/2026\/09\/Marie-Anne-Frison-Roche.jpg","url":"https:\/\/www.mafr.fr\/wp-content\/uploads\/2026\/09\/Marie-Anne-Frison-Roche.jpg","contentUrl":"https:\/\/www.mafr.fr\/wp-content\/uploads\/2026\/09\/Marie-Anne-Frison-Roche.jpg","width":696,"height":696,"caption":"Marie-Anne Frison-Roche"},"logo":{"@id":"https:\/\/www.mafr.fr\/wp-content\/uploads\/2026\/09\/Marie-Anne-Frison-Roche.jpg"}},{"@type":"Person","@id":"https:\/\/www.mafr.fr\/en\/#\/schema\/person\/dd859d9af030febaecc5ccb5225ab330","name":"Matthieu Cholin","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/secure.gravatar.com\/avatar\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/1e5e360436f2d8881fa028279894d36551ebdab1e06e8a782c57c631f1d6a25d?s=96&d=mm&r=g","caption":"Matthieu Cholin"}}]}},"_links":{"self":[{"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/posts\/113001","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/comments?post=113001"}],"version-history":[{"count":5,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/posts\/113001\/revisions"}],"predecessor-version":[{"id":133097,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/posts\/113001\/revisions\/133097"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/media\/66838"}],"wp:attachment":[{"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/media?parent=113001"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/categories?post=113001"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/tags?post=113001"},{"taxonomy":"type_de_fiche","embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/type_de_fiche?post=113001"},{"taxonomy":"matiere","embeddable":true,"href":"https:\/\/www.mafr.fr\/en\/wp-json\/wp\/v2\/matiere?post=113001"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}