RGPD, Sapin II, devoir de vigilance : et s'il existait une grammaire commune de la compliance ? Par Mohammad Omar, Docteur en Droit.

Dans de nombreuses entreprises, les dispositifs de conformité (comme la lutte contre la corruption, la protection des données ou le devoir de vigilance) fonctionnent en silos, sans coordination entre eux. Par exemple, la direction juridique gère l'anticorruption, la DSI le RGPD et la RSE le devoir de vigilance, avec des équipes et des processus séparés. Cette fragmentation crée des doublons, des incohérences et des angles morts. L'auteur propose une grammaire commune de la compliance pour unifier ces approches. Cette grammaire repose sur une structure sous-jacente présente dans tous ces dispositifs, permettant de les lire et de les anticiper de manière cohérente. Elle transforme la façon dont les entreprises abordent ces obligations légales, en les intégrant dans une logique globale plutôt que sectorielle.

Tous les dispositifs de compliance (RGPD, Sapin II, devoir de vigilance, CSRD) partagent une architecture en cinq éléments récurrents : l'identification des risques, les procédures de prévention, la désignation de responsables, le contrôle de l'effectivité et la documentation. Par exemple, la loi Sapin II (2016) impose aux grandes entreprises (500 salariés et 100 millions d'euros de chiffre d'affaires) une cartographie des risques de corruption, des dispositifs de contrôle et une traçabilité des actions. Le RGPD (2016) utilise un registre des traitements et un délégué à la protection des données pour remplir ces mêmes fonctions. Le devoir de vigilance (2017) exige un plan de vigilance pour les entreprises de plus de 5 000 salariés en France ou 10 000 dans le monde. Ces cinq piliers forment une structure stable, applicable à tous ces textes, malgré leurs différences de domaine.

La compliance repose sur un mécanisme appelé internalisation normative : l'État confie aux entreprises la responsabilité de veiller elles-mêmes à leur conformité, plutôt que de contrôler directement leur respect des règles. Par exemple, le Foreign Corrupt Practices Act (FCPA) américain de 1977, puis des lois comme Sapin II en France, obligent les entreprises à organiser des dispositifs internes (procédures, audits, documentation) pour prévenir les manquements. Cette approche est née de l'impossibilité pour les États de surveiller des millions d'entreprises à l'échelle mondiale. Elle redéfinit le rôle de l'entreprise, qui passe d'un simple destinataire passif des règles à un acteur actif de leur application. La loi PACTE (2019) illustre cette évolution en intégrant dans le Code civil la prise en compte des enjeux sociaux et environnementaux dans la gestion des sociétés.

La compliance influence profondément le droit des sociétés en redéfinissant la notion d'intérêt social, traditionnellement centrée sur les associés. La loi PACTE (2019) modifie l'article 1833 du Code civil pour inclure la prise en compte des enjeux sociaux et environnementaux dans la gestion des entreprises. La société à mission va plus loin en permettant aux entreprises d'inscrire dans leurs statuts une raison d'être et des objectifs sociaux ou environnementaux, vérifiés par un organisme tiers indépendant. Ces évolutions montrent que l'intérêt social n'est plus limité à la rentabilité financière, mais intègre les attentes des parties prenantes (salariés, communautés, environnement). La compliance agit comme un moteur de cette transformation, avec des implications majeures pour les dirigeants et leurs responsabilités.

Identifier une grammaire commune permet aux entreprises de mutualiser leurs outils et processus de compliance. Par exemple, une méthodologie de cartographie des risques conçue pour la lutte contre la corruption peut être adaptée au RGPD ou au devoir de vigilance. Une gouvernance intégrée (modèle GRC : Gouvernance, Risques et Conformité) évite les silos et réduit les doublons. Les contrats commerciaux intègrent désormais des clauses de compliance, notamment pour étendre les obligations aux sous-traitants. Cette approche optimise les ressources, surtout pour les PME soumises à des exigences indirectes via leurs donneurs d'ordre. Cependant, elle nécessite une coordination centrale pour éviter les incohérences et les angles morts dans la gestion des risques.

La compliance génère trois tensions majeures. La première est l'asymétrie : les grandes entreprises disposent des ressources nécessaires, mais les PME, souvent soumises aux mêmes exigences via leurs donneurs d'ordre, peinent à suivre. La directive Omnibus I (2026) tente de limiter cet effet en plafonnant les demandes d'informations pour le reporting CSRD, mais la cascade contractuelle persiste pour d'autres obligations. La deuxième tension est la complexité normative : la superposition de régimes (FCPA, UK Bribery Act, CS3D, etc.) crée des obligations contradictoires ou redondantes, notamment en raison de leur portée extraterritoriale. La troisième tension est le risque de conformité de façade : des procédures formelles peuvent donner l'illusion du respect sans changer les pratiques réelles, entraînant des sanctions plus sévères en cas de manquement avéré.