Dan Ostergaard · Cofondateur, Trusty · Ancien responsable mondial de la conformité chez Novartis · Fondateur de PolicyStore
Pourquoi « procédures raisonnables » signifie désormais formation démontrable, mise en œuvre active et un canal de signalement fonctionnel, et pourquoi le reste du monde réglementaire évolue dans la même direction
Pendant des années, la prévention de la fraude pouvait être satisfaite, ou du moins défendue, avec un classeur. Une politique existait, elle était approuvée, elle figurait sur l’intranet. Savoir si quelqu’un l’avait lue, comprise ou appliquée était une question distincte, et rarement celle que posaient les régulateurs. Cette époque est révolue.
Depuis le 1er septembre 2025, l’infraction de non-prévention de la fraude prévue à l’article 199 de la loi britannique Economic Crime and Corporate Transparency Act 2023 est en vigueur pour les grandes organisations. Les mécanismes sont délibérément larges : une organisation peut être tenue pénalement responsable, avec une amende illimitée, lorsqu’une personne associée (un employé, un agent, une filiale ou un sous-traitant) commet une fraude destinée à bénéficier à l’organisation. Le seul moyen de défense prévu par la loi consiste à démontrer que l’organisation disposait de procédures raisonnables pour prévenir cette fraude.
Et le Serious Fraud Office a été sans équivoque sur ce que « procédures raisonnables » ne signifie pas.
Le critère de la preuve du SFO
Le message principal des autorités de contrôle est simple : une politique écrite sans preuve qu’elle fonctionne réellement ne suffira pas à établir ce moyen de défense. Une politique sur laquelle personne n’est formé, qui n’est pas surveillée et qui ne produit aucune trace de son propre fonctionnement est, aux fins de la défense, pratiquement sans valeur. Ce qui protège une organisation n’est pas l’existence d’une procédure mais la preuve que la procédure vit : que les personnes ont été formées, que la formation a été comprise, que les contrôles sont surveillés de manière continue et que les alertes peuvent être remontées et sont suivies d’effet.
La conformité se recentre ainsi sur trois éléments démontrables :
- Preuve de la formation des employés. Non pas « nous avons un code de conduite », mais un registre vérifiable de qui a été formé, sur quoi, quand et s’il a démontré sa compréhension. Une formation qui ne peut être prouvée est, devant un tribunal, une formation qui n’a pas eu lieu.
- Mise en œuvre et surveillance continue. Les procédures raisonnables ne sont pas un événement de lancement ; elles constituent un contrôle continu. La défense repose sur la démonstration que les contrôles ont été mis en œuvre, confiés à des responsables désignés et surveillés dans le temps, avec une trace documentée des évaluations des risques, des examens et des mesures correctives.
- Un canal de signalement fonctionnel. La première année complète de l’infraction a renforcé l’attente selon laquelle le signalement, la formation à la prévention de la fraude et une surveillance efficace sont essentiels plutôt qu’optionnels. Un canal qui existe sur le papier mais ne génère aucun signalement, aucun tri et aucune action est en soi un signal d’alarme.
Le fil conducteur est le même que celui qui sépare le véritable contrôle interne du simple respect formel : un contrôle n’a d’importance que s’il peut être démontré qu’il fonctionne.
Il ne s'agit pas d'une particularité britannique : c'est la direction mondiale
La tentation est de classer la non-prévention de la fraude sous « problème britannique ». Ce serait une erreur. Dans toutes les juridictions et tous les secteurs, les régulateurs convergent vers le même principe : efficacité démontrée plutôt qu’intention documentée.
- Royaume-Uni, Stratégie de lutte contre la fraude 2026-2029. Le 9 mars 2026, le gouvernement britannique a lancé une nouvelle stratégie nationale de lutte contre la fraude, engageant plus de 250 millions de livres sterling sur trois ans et un modèle « Perturber, Protéger, Répondre ». Elle s’appuie directement sur l’infraction de non-prévention de la fraude et renforce l’attente que les organisations adoptent une approche proactive et fondée sur des preuves.
- Suisse, refonte de l’OBA-FINMA. En mai 2026, la FINMA a ouvert une consultation sur une révision partielle de son ordonnance sur le blanchiment d’argent (OBA-FINMA), le cadre révisé devant entrer en vigueur le 1er janvier 2027. Parmi les changements : la haute direction voit sa responsabilité renforcée quant à l’efficacité des contrôles internes, et non simplement leur existence. L’orientation réglementaire reflète un changement plus large, passant de la supervision des processus à la supervision des résultats, où la question est de savoir si un programme détecte et prévient réellement les fautes.
- États-Unis, recouvrements record du DOJ et responsabilité des personnes associées. En janvier 2026, le ministère de la Justice a annoncé que les règlements et jugements au titre du False Claims Act ont dépassé 6,8 milliards de dollars pour l’exercice 2025, le total annuel le plus élevé de l’histoire de la loi, et une augmentation d’environ 120 % par rapport à l’année précédente. Les soins de santé et les sciences de la vie ont représenté l’écrasante majorité. Fait notable, les poursuites visent de plus en plus les distributeurs tiers et agents commerciaux : le statut d’entrepreneur indépendant ne met pas un représentant à l’abri de sa responsabilité, et le fabricant qu’il représente peut également être impliqué, la même logique de responsabilité en amont que l’infraction britannique.
- UE, renforcement de la surveillance des dispositifs médicaux. Même si la Commission européenne propose de rationaliser le règlement sur les dispositifs médicaux, des obligations strictes se mettent en place : EUDAMED est devenu obligatoire en mai 2026 et les exigences en matière de déclaration d’incidents ont été renforcées. Les voix de l’industrie ont averti que toute réduction de la fréquence des audits ou de l’échantillonnage de la documentation risque de rouvrir les failles mêmes par lesquelles des fautes passent inaperçues.
L’écart de préparation. Une enquête menée en février 2026 auprès de responsables de l’audit interne a montré que, si la fraude facilitée par l’IA est largement reconnue comme un risque croissant, seuls quatre sur dix environ estimaient leur fonction suffisamment préparée pour la détecter ou y réagir.
Dans l’ensemble, le tableau est cohérent. Que le régulateur soit le SFO, la FINMA, le DOJ ou la Commission européenne, le niveau d’exigence augmente, et « nous avions une politique » n’est plus la réponse à la question posée.
L'écart de mise en œuvre et comment le combler
Le problème est concret. La plupart des organisations ont déjà des politiques. Ce qui leur manque souvent, c’est le tissu conjonctif qui transforme une politique en preuve défendable : un registre unique et auditable qui relie chaque procédure aux personnes formées à son sujet, aux contrôles qui la mettent en œuvre et aux préoccupations soulevées à son encontre.
C’est précisément pour combler cet écart qu’une plateforme de conformité dédiée justifie sa place.
Trusty Compliance App est conçue autour des trois éléments que la défense de non-prévention de la fraude exige désormais :
- Preuve de formation, sur demande. Trusty Compliance App maintient un registre vérifiable de la distribution des politiques, des attestations et de la validation des formations : qui a été formé, sur quelle version de la politique, quand et avec quel résultat. Lorsqu’un régulateur ou un auditeur demande une preuve, la réponse est un rapport, pas une course effrénée.
- Mise en œuvre que vous pouvez surveiller. Plutôt que de traiter la conformité comme un événement annuel, Trusty Compliance App prend en charge la mise en œuvre continue : désigner des responsables de contrôle, suivre les attestations et les révisions, et identifier les lacunes des procédures avant qu’elles ne fassent l’objet d’un constat d’audit. Elle transforme les « procédures raisonnables » d’une simple affirmation en un état continuellement prouvé.
- Signalement intégré. Un canal de signalement confidentiel est intégré à la même plateforme, avec un tri structuré et une trace documentée du traitement de chaque signalement : l’existence du canal s’accompagne ainsi de la preuve que les signalements sont reçus, évalués et suivis d’effet.
Le point stratégique n’est pas que le logiciel se substitue à la culture. Ce n’est pas le cas. Mais dans un monde où la défense repose sur des preuves, les organisations qui peuvent produire ces preuves (registres de formation, pistes de suivi, journaux de signalement, le tout en un seul endroit) sont celles qui résisteront à l’examen. Les autres devront expliquer, après coup, pourquoi leur politique soigneusement rédigée n’a pas empêché ce qu’elle était censée prévenir.
L’infraction est en vigueur. La stratégie est financée. La direction mondiale est fixée. La seule question ouverte est de savoir si vos procédures peuvent faire leurs preuves.
Le critère de la preuve du SFO
Le critère de la preuve du SFO exige trois choses : une formation documentée, des politiques pilotées et un canal de signalement fonctionnel. Trusty réunit les trois sur une seule plateforme, prête pour l’audit, en ligne en moins de 5 minutes.
- Formation étayée par des preuves, à la demande. Trusty Compliance App suit qui a validé quelle version de la politique, quand et avec quel résultat. Lorsque le SFO le demande, vous produisez un rapport horodaté.
- Des politiques que votre équipe suit réellement. Trusty Compliance App transforme les politiques anti-fraude en accusés de lecture horodatés. Chaque validation par un employé devient une partie de votre piste d’audit.
- Canal de signalement intégré. Trusty Whistleblowing est confidentiel, permet l’anonymat, est conforme au RGPD et aligné sur la directive européenne sur la protection des lanceurs d’alerte. Opérationnel en quelques minutes.
Approuvé par plus de 1 000 entreprises à travers l’Europe. À partir de 49 €/mois, sans frais d’installation, sans intervention informatique. Trusty Whistleblowing → Compliance App → Trusty Compliance App → Tous les tarifs →
Sources
- Gouvernement britannique, Nouvelles directives sur la non-prévention de la fraude publiées : www.gov.uk/government/news/new-failure-to-prevent-fraud-guidance-published
- Trowers & Hamlins, Fraude : ce qui nous attend en 2026
- Bird & Bird, Stratégie britannique de lutte contre la fraude 2026-2029
- Fiscaltec, Conformité britannique en matière de fraude et de sanctions 2026 : ECCTA, OFSI
- FINMA, Consultation sur la révision partielle de l’ordonnance sur le blanchiment d’argent : www.finma.ch/en/news/2026/05/20260512-mm-anh-gwv-finma/
- GRC Report, La FINMA propose une refonte de la LBA
- Epstein Becker Green, Les recouvrements de la False Claims Act atteignent des sommets historiques au cours de l’exercice 2025
- MedDeviceGuide, Application de la loi sur la fraude aux dispositifs médicaux par le DOJ 2026
- MedTech Europe, Proposition de révision des règles relatives aux dispositifs médicaux
- The IIA / AuditBoard, Audit interne et fraude assistée par l’IA
Questions fréquentes
L’infraction s’applique aux « grandes organisations » telles que définies par le Companies Act 2006 (deux critères sur trois : chiffre d’affaires de plus de 36 M£, bilan de plus de 18 M£, plus de 250 employés). Les PME situées en dessous de ce seuil sont actuellement hors du champ d’application direct, mais les régulateurs sectoriels reprennent de plus en plus les mêmes exigences de preuve.
Le SFO attend six éléments : des procédures proportionnées, un engagement au plus haut niveau, une évaluation des risques, une diligence raisonnable envers les personnes associées, la communication et la formation, ainsi que le suivi et l'examen. Chaque élément doit être prouvé ; une politique écrite sans piste de fonctionnement ne suffit pas.
Oui. Les signaux envoyés par les autorités au cours de la première année d'application de l'infraction indiquent clairement qu'un canal de signalement interne fonctionnel est attendu dans le cadre des procédures raisonnables. Un canal qui existe sur le papier mais ne génère aucun signalement documenté ni action de tri est en soi un indicateur de risque.
Une plateforme dédiée comme Trusty peut être configurée et opérationnelle en moins de 5 minutes, sans aucune intervention informatique. Cela inclut un canal de signalement anonyme, un tableau de bord de gestion des cas, une gestion des données conforme au RGPD et une piste d'audit complète de tous les signalements et actions entreprises.
Oui. Comme l’explique cet article, la direction mondiale est cohérente : l’efficacité prouvée prime sur l’intention documentée. La directive européenne sur les lanceurs d’alerte (2019/1937) s’applique à toutes les organisations du secteur privé de plus de 50 employés dans l’UE. La FINMA, le DOJ et les régulateurs sectoriels convergent tous vers une surveillance basée sur les résultats.
POLITIQUES, FORMATIONS ET LIGNE D’ALERTE
Trusty Compliance App : politiques d’entreprise, formations à la conformité et un canal de signalement dans une seule application pour vos employés. 10 politiques prêtes à l’emploi, 6 formations, essai gratuit, aucune configuration informatique.