La LkSG s’applique toujours en 2026, mais son contrôle est allégé. Ce qui s’applique aujourd’hui, ce qui a changé et le lien avec la directive européenne CSDDD.
DORA exige que les entités financières concernées gèrent les risques liés aux prestataires tiers de services TIC et tiennent à jour des informations sur leurs accords contractuels TIC, avec des exigences renforcées lorsque les prestataires soutiennent des fonctions critiques ou importantes. NIS2 impose aux entités essentielles et importantes de traiter la sécurité de la chaîne d’approvisionnement, en particulier les risques impliquant les fournisseurs directs et les prestataires de services. Les deux régimes se chevauchent, mais DORA est plus prescriptif concernant la gestion des risques liés aux tiers TIC.
MiCA réglemente l’agrément et le fonctionnement des prestataires de services sur crypto-actifs (PSAN) dans l’UE, tandis que le cadre LCB-FT de l’UE régit la manière dont ces entreprises préviennent le blanchiment de capitaux et le financement du terrorisme. MiCA ne remplace pas les exigences LCB-FT : les PSAN agréés doivent se conformer aux deux, y compris la vigilance à l’égard de la clientèle, la vérification des bénéficiaires effectifs, les contrôles des sanctions et des PPE, la surveillance des transactions et la déclaration d’activités suspectes.
La conformité EUDR n’exige pas des PME d’acheter du cacao par l’intermédiaire d’un négociant : un petit ou moyen producteur peut toujours importer directement.
La gestion des risques liés aux tiers dans le cadre de DORA est partagée entre les entités financières et leurs prestataires TIC. Depuis le 17 janvier 2025, l’article 13, paragraphe 6, exige que les banques, les assureurs et les sociétés d’investissement mettent en place des programmes de sensibilisation à la sécurité TIC et des formations à la résilience, et, le cas échéant, y incluent leurs prestataires TIC ; et l’article 30, paragraphe 2, point i), exige que chaque contrat TIC précise comment le prestataire y participe. Les prestataires capables d’en apporter la preuve conservent le contrat.
La formation à la conformité des employés est efficace lorsqu’elle mesure la compréhension, et non la présence. Trusty Compliance App transforme n’importe quelle politique ou document en un module de formation en quelques minutes, avec des questions générées par IA, des explications pour chaque réponse et un certificat de réussite, afin que vous puissiez prouver que les gens ont compris les règles qui protègent l’organisation plutôt que de simplement avoir cliqué sur les diapositives.
Les employés ne lisent pas les politiques de conformité parce qu’elles sont difficiles d’accès, trop longues, rédigées dans un langage juridique et dispersées dans des PDF, des pièces jointes d’e-mail et des dossiers partagés, et non parce qu’ils ne s’en soucient pas. La solution ne consiste pas à créer un nouveau document : regroupez chaque politique en un seul endroit accessible depuis tout appareil, mettez en avant la règle elle-même, offrez des orientations plutôt que du texte, et mesurez qui l’a réellement lue et comprise.
Le critère de la preuve du SFO est simple : une politique anti-fraude écrite sur laquelle personne n’est formé, qui n’est pas contrôlée et qui ne laisse aucune trace de son propre fonctionnement ne suffira pas à établir le moyen de défense fondé sur des procédures raisonnables en vertu de l’article 199 de l’ECCTA, en vigueur depuis le 1er septembre 2025. Ce qui protège une organisation, c’est la preuve que la procédure fonctionne : registres de formation, surveillance, canaux de signalement et suivi documenté.
La protection des données et la conformité reposent sur deux fonctions distinctes. Le Compliance Officer veille à ce que l’entreprise respecte la réglementation en vigueur et gère des programmes qui réduisent le risque juridique et réputationnel. Le DPO s’assure que les données personnelles sont traitées conformément au RGPD et aux règles nationales. Leurs missions sont différentes mais complémentaires et doivent être coordonnées, par exemple pour les canaux de signalement internes.
Le monde des affaires moderne exige des programmes de conformité efficaces pour éviter la responsabilité pénale et garantir un fonctionnement éthique et conforme à la loi. De plus, cette conformité réglementaire renforce l’image et la réputation de l’entreprise auprès de la société. Cependant, elle n’est pas exempte de défis.
La conformité MiCA pour les CASP en 2026 repose sur trois piliers opérationnels : un ensemble complet de politiques spécifiques à MiCA couvrant les articles 68 à 73, la preuve que le personnel satisfait aux règles de connaissances et de compétences de l’ESMA applicables à partir du 28 juillet 2026, et un canal de signalement conforme simultanément à MiCA, à la directive sur les lanceurs d’alerte et à DORA. L’agrément n’est que le point de départ ; c’est la preuve d’un fonctionnement quotidien conforme que les autorités de supervision mesurent.
Le Trusty FinTech Booster Pack standardise la conformité au sein d’un réseau de partenaires : un seul ensemble de politiques distribué aux commerçants, agents, distributeurs et fournisseurs tiers, une preuve que chaque partenaire les a lues et a été formé en conséquence, un contrôle intégré des sanctions et des PPE, ainsi qu’une visibilité en temps réel pour l’institution agréée. Il transforme une supervision fragmentée et manuelle des partenaires en un système auditable par les régulateurs.
Le filtrage des PPE identifie si un client, un fournisseur ou un partenaire commercial est une personne politiquement exposée : quelqu’un qui occupe ou a occupé une position publique de premier plan, ou un membre de sa famille ou une personne qui lui est étroitement associée. Une correspondance de nom n’est qu’un début. Un filtrage efficace vérifie le rôle, le niveau d’influence, le pays et si la personne est toujours en fonction, puis documente la décision de risque et répète la vérification si les circonstances changent.
La directive anti-corruption de l’UE harmonise les infractions de corruption dans l’ensemble des États membres, en ajoutant à la corruption le trafic d’influence, le détournement de fonds, l’obstruction à la justice et la dissimulation d’avoirs qui y sont liés, et étend la responsabilité des entreprises aux actes commis au bénéfice d’une entreprise. Les amendes peuvent atteindre cinq pour cent du chiffre d’affaires mondial, avec, en plus, l’exclusion des marchés publics. Les entreprises ont besoin de politiques anti-corruption opérationnelles, de formations et d’un canal de signalement, pas de documents rangés dans un tiroir.
La conformité de la gestion des politiques signifie prouver que les politiques sont suivies, à jour et appliquées de manière cohérente, et non qu’elles existent. Les régulateurs examinent désormais trois aspects que la plupart des organisations ne peuvent pas voir : si les employés accèdent réellement aux politiques, si tout le monde travaille à partir de la dernière version approuvée, et si les équipes les appliquent de la même manière. Combler ces lacunes nécessite une distribution, un contrôle de version et une confirmation de lecture, et non davantage de documents.
Les PME peuvent répondre aux attentes ESG sans équipe de conformité en restant sur du léger : un court code de conduite, quelques politiques claires que les gens lisent vraiment, une formation de base, un canal pour signaler des préoccupations, et une vérification rapide de la diligence raisonnable sur les fournisseurs et partenaires commerciaux, là où se situe l’essentiel de l’exposition ESG. L’objectif est de réduire le risque réel et d’en apporter la preuve, pas de reproduire un service ESG de grande entreprise.
Le filtrage des tiers pour les entreprises en croissance répond à une question avant la signature d’un contrat : avec qui faisons-nous réellement affaire ? En pratique, il vérifie trois signaux : si la contrepartie figure sur une liste de sanctions, si une personne physique est une personne politiquement exposée, et si des informations défavorables issues des médias pointent vers une fraude, de la corruption ou d’autres actes répréhensibles. Réalisé de manière cohérente, proportionnée et documentée, il s’agit d’un élément de base de la gestion des risques commerciaux, et non d’un exercice réservé aux banques.
La conformité aux sanctions pour les PME n’est plus facultative en 2026. La directive 2024/1226 érige les violations graves des sanctions en infractions pénales dans toute l’UE, fixe des sanctions minimales et étend la responsabilité aux entreprises, si bien que l’application de la loi touche désormais les petites structures qui commercent, exportent ou s’approvisionnent à l’international. Ce dont les PME ont besoin, c’est d’un processus clair et reproductible : contrôler chaque contrepartie au regard des listes de sanctions, enregistrer le résultat et surveiller les évolutions dans le temps.
La formation à la conformité en milieu de travail pour les PME échoue souvent, non par manque d’efforts, mais parce qu’elle est dispensée sous forme de PDF génériques, de longs diaporamas ou de sessions enregistrées que les employés valident sans les assimiler, et rien ne vérifie leur compréhension. En 2026, une formation efficace est courte, adaptée à des scénarios réels, s’intègre au mode de travail des collaborateurs et produit des preuves de compréhension que l’organisation peut présenter sur demande.
La conformité de la chaîne d’approvisionnement pour les PME change en 2026 car les règles de l’UE s’étendent désormais au-delà de l’entreprise réglementée pour atteindre ses fournisseurs : les demandes d’informations sur l’approvisionnement, l’actionnariat et les risques proviennent des clients et des partenaires, et non des régulateurs, et elles arrivent de manière plus fréquente et plus structurée. Les PME n’ont pas besoin d’une grande équipe, mais d’un processus clair pour savoir avec qui elles travaillent, collecter l’information une seule fois et répondre à chaque demande à partir de celle-ci.
Les PME peuvent satisfaire aux exigences NIS2 en matière de traitement des vulnérabilités grâce à un processus de signalement simple et structuré : un canal unique où les employés, les fournisseurs et les chercheurs peuvent signaler une faille de sécurité, un traitement confidentiel, un responsable désigné qui l’évalue et la corrige, et une trace de ce qui a été fait. Un système d’alerte professionnelle fournit déjà ce flux de travail, de sorte que le même canal peut servir les deux régimes.
L’UNI/PdR 125:2022 est la norme italienne pour la certification de l’égalité des sexes. Elle évalue une entreprise à l’aide d’indicateurs de performance clés (KPI) dans six domaines : culture et stratégie, gouvernance, processus RH, opportunités de carrière pour les femmes, égalité salariale entre les sexes et équilibre vie professionnelle-vie privée, et accorde une certification formelle au-delà du seuil requis. Pour les PME, elle peut représenter un avantage dans les appels d’offres publics, d’éventuels avantages fiscaux et un profil ESG renforcé, et elle exige un canal confidentiel pour signaler les discriminations.
Les chaînes d’approvisionnement mondiales évoluent. Elles deviennent à la fois plus fragiles, plus transparentes et plus réglementées. Les tensions géopolitiques modifient les relations commerciales. Les
Le dernier kilomètre de la conformité est l’écart entre la rédaction d’une politique et sa mise entre les mains des personnes qui prennent des décisions chaque jour. La plupart des défaillances de conformité surviennent là : la politique existe, mais les salariés ne la voient jamais, ne la trouvent pas ou ne la comprennent pas. Combler cet écart suppose de diffuser les politiques numériquement sur chaque appareil, de confirmer leur lecture et de mesurer qui les consulte.
La formation au signalement et un protocole de signalement sont les deux piliers d’un environnement de travail sain et éthique. Le protocole définit le fonctionnement du canal interne : confidentialité pour le lanceur d’alerte, procédure de réception et de suivi des signalements, et sanctions lorsque l’acte répréhensible est confirmé. La formation garantit que les employés connaissent l’existence du canal, lui font confiance et comprennent ce qu’il faut signaler, afin que les problèmes fassent surface tôt au lieu de s’envenimer.
La directive (UE) 2024/1226 impose à chaque État membre de criminaliser les violations graves et le contournement des sanctions de l’UE, harmonise la définition de ces infractions et fixe des peines minimales, y compris la responsabilité des entreprises. Pour les PME qui commercent ou s’approvisionnent au-delà des frontières, elle transforme le criblage des sanctions des clients, fournisseurs et partenaires d’une pratique réservée aux grandes entreprises en un contrôle commercial de base, proportionné et documenté.
Pour les PME, le filtrage des partenaires commerciaux n’est plus facultatif.
Vous n’avez pas besoin d’un département de conformité dédié. Mais vous avez besoin d’un processus structuré et défendable.
Les fonds de capital-risque évaluent soigneusement le risque produit, le risque de marché et le risque lié aux fondateurs, mais ne chiffrent pas le risque de conformité du portefeuille. Ne pas imposer un code de conduite, une formation et un canal d’alerte à travers les sociétés de portefeuille constitue un risque fiduciaire : les régulateurs appliquent des standards de « failure to prevent » et de « reasonable procedures » aux systèmes et aux preuves, les défaillances de gouvernance font dérailler les sorties et les valorisations, et sans politiques ni traces, il n’y a rien à défendre. La solution : un socle léger de gouvernance à l’échelle du portefeuille.
Comment Mettre en place un programme de conformité dans une petite entreprise Les attentes réglementaires à légard des petites entreprises augmentent, notamment en matière de
L’infraction de « manquement à la prévention de la fraude » de l’ECCTA s’applique aux grandes organisations, mais elle atteint les PME par le biais de leurs contrats. Puisque la seule défense légale consiste à prouver l’existence de procédures raisonnables, les entreprises britanniques demandent désormais aux fournisseurs de justifier de formations anti-fraude, de dispositifs d’alerte professionnelle, de droits d’audit et de clauses de résiliation. Les petits fournisseurs sont liés dans la pratique, et non par la loi elle-même.
La croissance d’une entreprise ne devrait pas augmenter sa responsabilité. Le développement ajoute des employés, des partenaires, des systèmes et des niveaux de décision, et la conformité informelle qui fonctionnait à 20 personnes s’effondre à 200 : les politiques restent dans des PDF, personne ne peut prouver qui a lu quoi, et les preuves demandées par un régulateur ou un assureur n’existent pas. Les entreprises qui se développent en toute sécurité gèrent la conformité comme un système : des politiques distribuées, des formations suivies et une diligence raisonnable documentée.
Dans la gestion de la chaîne d’approvisionnement, la proportionnalité consiste à concentrer la diligence raisonnable sur les fournisseurs les plus importants et les plus stratégiques, mais elle ne doit pas signifier ignorer les plus petits. Les petits fournisseurs comportent des risques cachés en matière de conformité, de continuité et de réputation, tout en apportant flexibilité, spécialisation et innovation. Une stratégie équilibrée évalue chaque fournisseur selon un niveau de référence et adapte le niveau de contrôle en fonction du risque, et non de la taille de l’entreprise.
L’éthique de la chaîne d’approvisionnement s’accompagne désormais d’exigences juridiques. La directive sur le devoir de vigilance des entreprises en matière de durabilité, approuvée par le Parlement européen le 24 avril 2024, tient les grandes entreprises pour responsables de l’identification, de la prévention et de la réparation des atteintes aux droits humains et à l’environnement tout au long de leurs chaînes de valeur ; ce devoir se répercute sur leurs fournisseurs par le biais de contrats et de questionnaires. Les entreprises qui cartographient leur chaîne et documentent les contrôles de leurs fournisseurs répondent à cette demande et bénéficient d’un avantage commercial.
Chez Trusty AG, notre siège social est niché à Zoug, en Suisse, une ville pittoresque au bord d’un lac, entourée de montagnes. Les touristes affluent
Vous cherchez un logiciel de conformité EUDR ? Découvrez EUDR Passport, la plateforme de conformité EUDR de Trusty. La conformité EUDR devient obligatoire pour les
La formation des employés à la conformité fonctionne lorsque chaque politique devient un module court et personnalisé, que chacun suit sur n’importe quel appareil, dans sa propre langue, avec des questions et des explications pour tester la compréhension, ainsi qu’un registre indiquant qui a réussi et quand. Trusty Compliance App le fait grâce à l’IA : téléversez la politique, obtenez le module, suivez l’achèvement et la certification en temps réel, et conservez les preuves que les auditeurs et les clients demandent.
Le filtrage PPE et sanctions vous permet d’évaluer les tiers avant la signature du contrat et de continuer à les évaluer par la suite : vérifiez les prestataires, fournisseurs et partenaires par rapport aux listes de sanctions et de PPE ainsi qu’à la presse négative, documentez le résultat et revérifiez à mesure que les listes changent. Trusty QuickScreen360 effectue ces vérifications avec une surveillance continue, des contrôles personnalisables et moins de faux positifs, de sorte que la décision de risque repose sur des preuves actuelles.
Gérer proactivement le risque fournisseur signifie agir avant l’incident, pas après : cartographier les fournisseurs par catégorie et criticité afin que l’effort de surveillance corresponde au risque, évaluer chaque fournisseur avant, pendant et après la relation, vérifier les sanctions, la structure actionnariale et les enjeux réputationnels, et conserver une traçabilité documentée. Le risque fournisseur ne peut pas être éliminé, mais un processus structuré et reproductible permet de le garder visible et maîtrisable.
Un processus de diligence raisonnable des fournisseurs protège la chaîne d’approvisionnement en évaluant les fournisseurs au-delà du prix et des délais de livraison : définir des critères clairs alignés sur vos priorités ESG et de conformité, mener une évaluation structurée avec questionnaires, vérifications documentaires et contrôles, et maintenir l’évaluation à jour à mesure que les fournisseurs et les listes évoluent. Prévenir, c’est protéger : un processus documenté est ce que les régulateurs, les clients et les auditeurs demandent à voir.
Les cas Apple et John Deere montrent que la conformité de la chaîne d’approvisionnement ne s’arrête pas à la maison mère. Les deux groupes ont dû rendre des comptes pour des minerais provenant de zones de conflit comme la République démocratique du Congo. La leçon vaut pour toute entreprise : connaître l’origine des matériaux, contrôler et surveiller les fournisseurs à chaque maillon et documenter, car le préjudice touche la marque.
Le risque lié à la chaîne d’approvisionnement ne s’arrête pas aux fournisseurs stratégiques. Ne surveiller que les plus grands partenaires laisse des zones d’ombre parmi les centaines de petits fournisseurs, sous-traitants et fournisseurs occasionnels où l’exposition aux sanctions, la fraude, les problèmes sociaux et environnementaux ont tendance à se cacher. Gérer les risques sur l’ensemble de la chaîne signifie un contrôle de base pour chaque fournisseur, un examen plus approfondi lorsque le profil de risque le justifie, et une surveillance continue plutôt qu’un simple contrôle à l’entrée en relation.
Un logiciel de diligence raisonnable de la chaîne d’approvisionnement doit faire neuf choses : automatiser la collecte de données auprès des fournisseurs, réaliser des évaluations des risques adaptées à votre secteur et à vos réglementations, stocker les preuves avec une traçabilité complète, surveiller en continu et déclencher des alertes, s’intégrer aux systèmes que vous utilisez déjà, évoluer à mesure que la base de fournisseurs grandit, produire des rapports en temps réel via des tableaux de bord, inclure un support et des mises à jour continus, et fonctionner dans plusieurs langues et régimes réglementaires. Sans cela, on retombe dans le travail manuel.
La loi allemande sur le devoir de vigilance des entreprises dans les chaînes d’approvisionnement (LkSG) de juillet 2021 s’applique aux fournisseurs directs au titre de son article 6, paragraphe 4 : les entreprises doivent sélectionner leurs fournisseurs sur la base de critères liés aux droits de l’homme et à l’environnement, et non sur le seul critère du prix, obtenir des engagements contractuels qui se répercutent tout au long de la chaîne, former les fournisseurs et vérifier la conformité au moyen de contrôles fondés sur les risques. La difficulté pratique réside dans le suivi continu de centaines de fournisseurs, d’où l’importance d’une évaluation et d’une documentation structurées.
Les chaînes d’approvisionnement sont devenues un élément clé du succès de toute entreprise. Cependant, leur complexité entraîne également des risques importants qui peuvent affecter tout,
Le Régime Général de Prévention de la Corruption (RGPC) du Portugal, établi par le Décret-loi n° 109-E/2021, s’applique aux organismes publics et aux entités privées employant 50 salariés ou plus, y compris les succursales locales d’entreprises étrangères. Il impose un plan de prévention des risques de corruption, un code de conduite, un canal de signalement confidentiel conforme à la Loi n° 93/2021, ainsi qu’une formation obligatoire pour les cadres et les employés, avec des sanctions en cas de non-conformité supervisées par le MENAC.
La Compliance 2.0 commence par les tiers parce que c’est là que se situe le risque : 62 pour cent des violations de données passent par des prestataires externes, plus de 80 pour cent des entreprises partagent des données sensibles avec eux et 98 pour cent sont liées à au moins un fournisseur victime d’une violation au cours des deux dernières années, selon le Data Breach Investigations Report de Verizon. Étendre les contrôles de conformité et de sécurité aux fournisseurs, partenaires et prestataires est le cœur de l’approche.
La directive sur le devoir de vigilance des entreprises en matière de durabilité (directive (UE) 2024/1760, CSDDD) impose aux entreprises concernées de mettre en place un canal d’information permettant aux employés, fournisseurs et autres parties prenantes de signaler les risques et les manquements en matière de droits humains et d’environnement. Ce canal doit être accessible à toutes les parties prenantes, confidentiel, protégé contre les représailles et faire l’objet d’un suivi, ce qui fait d’un canal d’alerte existant l’endroit naturel pour le mettre en place.
Le General Compliance Program Guidance 2023 de l’OIG offre aux PME américaines du secteur de la santé une feuille de route : comprendre ce que le guide attend d’un programme efficace, l’adapter à la taille et aux risques de l’organisation, évaluer et surveiller les risques en continu, appliquer les normes de manière cohérente, réagir rapidement aux problèmes et instaurer une culture où la conformité est l’affaire de tous. Des politiques écrites, des formations et un canal de signalement constituent le cœur pratique de ces six étapes.