Conformité by design : comment banques et compagnies d‘assurance peuvent être prêtes à passer un audit en quelques secondes

Le moyen le plus rapide d‘évaluer la santé réelle de votre conformité n‘est ni un modèle de maturité ni un référentiel. Ce sont quatre questions simples. Pour chacune, demandez-vous honnêtement si votre équipe pourrait y répondre en quelques secondes ou si cela lui demanderait des heures de recherche.

1. Qui a modifié ce document et quand ?

Chaque version devrait s’accompagner de son propre historique : qui a accédé à tel document, ce qui a été modifié et quand. Sans cela, vous reconstituez le passé à partir de fils d’e-mails et de conversations dont on se souvient à moitié, en espérant que personne ne demande de preuve.

2. Quelle version du document a été approuvée ?

Lorsque cinq versions d‘un contrat sont dispersées entre un lecteur partagé, une boîte de réception et le bureau d‘un collaborateur, la version approuvée est celle que n’importe qui jure être la bonne. Avec une copie unique et définitive, il n‘y a pas de débat possible. C‘est un document.

3. Quel processus de conformité était en place à une date passée ?

Les organismes de contrôle ne vous demandent pas seulement ce que vous faites aujourd‘hui. Ils vous demandent ce que vous avez fait à l‘époque, à la date où un prêt spécifique a été validé ou un sinistre payé. Y répondre suppose de savoir quelles règles, autorisations et flux de travail étaient en vigueur à ce moment précis, et non ceux que vous appliquez aujourd‘hui.

4. Qui a accédé à ce fichier ?

Le principe du besoin de connaître ne se déclare pas, il se démontre, avec un historique complet de qui a ouvert quoi et quand. Si vous ne pouvez pas le produire, vous ne pouvez pas prouver que les données sensibles sont restées là où elles auraient dû rester.

Si ces réponses arrivent en quelques secondes, vous pouvez prouver votre conformité à la demande. Si elles arrivent en plusieurs jours, ce délai vous coûte bien plus que du temps. Pour en savoir plus sur les coûts cachés d‘une infrastructure d‘information défaillante dans les services financiers.

Lorsqu’il est difficile de répondre à ces questions, le problème ne vient presque jamais de votre équipe conformité. Il vient de quelque chose de bien plus élémentaire : l‘endroit où se trouvent vos documents, et ce qu‘ils peuvent, ou ne peuvent pas, vous dire.

Commençons par leur emplacement. Dans la plupart des banques et compagnies d‘assurance, les documents d‘un même client ne se trouvent pas dans un seul système informatique. Ils sont dispersés dans plusieurs applicatifs, chacun ayant été ajouté à un moment différent pour un usage différent :

• La demande de prêt ou la souscription d’une police d’assurance se trouve dans le système d’origination.
• Les relevés et les documents de vérification d’identité sont enregistrés dans le système bancaire central ou de gestion des sinistres.
• Les documents plus anciens sont archivés.
• Et le formulaire signé ou l‘e-mail d‘approbation isolé se trouve sur un lecteur partagé ou dans la boîte de réception d’un collaborateur.

Personne n‘a planifié les choses ainsi. C‘est simplement ce qui se produit au fil des années, chaque équipe choisissant l‘outil adapté à son processus. Mais cela signifie que pour visualiser l‘historique complet d‘un client, il faut savoir quels systèmes consulter et aller vérifier dans chacun d‘eux.

Voici maintenant la partie la plus difficile : ce qu‘un document peut réellement vous révéler. La plupart de ces documents ne sont que cela, de simples fichiers. Un PDF scanné ou un document Word rangé dans un dossier. Ouvrez-le, et vous pourrez lire ce qui figure sur la page, mais le fichier lui-même ne peut pas vous dire :

• qui l‘a modifié, ni quand,
• s‘il s‘agit de la version finale validée ou d‘un ancien brouillon,
• quelles règles et autorisations s‘y appliquaient à l‘époque,
• qui d‘autre l‘a ouvert depuis.

Ces informations n‘ayant jamais été capturées, elles y sont donc introuvables. Lorsqu‘un organisme de contrôle pose une question, il faut les reconstituer à la main en allant les chercher dans tous les systèmes que les documents ont traversés.

Avec DORA, cette traçabilité n'est plus une bonne pratique : c'est une obligation réglementaire. Un établissement incapable de reconstituer à la demande le parcours d'un document, qui l'a modifié, sous quelle autorisation, à quel moment, ne fait plus seulement face à un audit long. Il fait face à un manquement au titre de DORA lui-même.

Le réflexe est de répondre par plus de discipline : des listes de contrôle plus strictes, un classement plus rigoureux ou un nouveau rappel de bien consigner les choses. Cela fonctionne rarement, car le problème ne vient pas du manque d‘efforts des équipes. Il vient du fait que les systèmes informatiques qui hébergent vos documents ne peuvent rien imposer par eux-mêmes, si bien que chaque contrôle finit par dépendre d‘un salarié qui doit se souvenir de l‘appliquer, de la même manière, à chaque fois, indéfiniment.

Qu‘on en oublie un, et rien ne le signale. Il reste là, inaperçu, jusqu‘à ce qu‘un organisme de contrôle le découvre en premier. On ne peut pas travailler plus dur pour compenser une telle organisation. Ce qui doit changer, c‘est le socle sur lequel tout repose : la façon dont vos documents sont capturés, conservés et gérés dès le départ.

Imaginez ces quatre mêmes questions dans un monde où vos documents ne sont pas simplement stockés, mais réellement gérés. Chaque version conserve automatiquement son propre historique. Vous pouvez alors visualiser qui a modifié quoi, et quand, sans rien avoir à reconstituer. Une copie unique et définitive de chaque document étant présente, la version approuvée ne peut jamais être contestée, et la valeur probante de vos archives, telle que définie par la norme NF Z 42-013, ne peut plus l'être non plus. Les règles de conservation s'appliquent d'elles-mêmes, sans attendre que quelqu'un se souvienne du calendrier. L‘accès est géré et journalisé, de sorte que qui a vu quoi devient un fait établi, et non une simple affirmation ; en outre, une piste d‘audit complète de chaque opération s‘écrit d‘elle-même au fil du travail.

C‘est précisément à cela que sert une plateforme de gestion documentaire moderne. Non pas à des fins de stockage, une fonction que les anciens systèmes remplissent déjà, mais pour comprendre et gérer les documents sur lesquels repose votre activité, afin que la conformité cesse d‘être quelque chose que l‘on reconstitue sous pression et devienne quelque chose que vos documents portent tout simplement en eux.

C‘est toute la différence entre les établissements qui redoutent l‘audit et ceux qui le remarquent à peine.

Envie d'en savoir plus ? Lisez cet article qui explique les coûts qui pénalisent les banques et les assurances à cause des silos d'informations.