KPI de compliance : mesurer ce qui compte sans confondre activité et efficacité.

La compliance désigne l’ensemble des mesures mises en place par une organisation pour se conformer aux lois, règlements et normes en vigueur. Elle vise à prévenir les risques juridiques, financiers ou réputationnels. Aujourd’hui, les directions de la conformité s’appuient sur des tableaux de bord riches en indicateurs clés de performance (KPI), comme le taux de formation des salariés, le nombre d’alertes internes ou le délai de traitement des dossiers. Ces données permettent de vérifier que les dispositifs existent et fonctionnent matériellement. Par exemple, une entreprise peut afficher un taux de 98 % de salariés formés en anticorruption, ce qui mesure la couverture du programme mais pas son efficacité réelle. En effet, ces indicateurs reflètent surtout l’activité (nombre de formations réalisées, contrôles effectués) et non l’impact (changement de comportement, réduction des risques).

Les KPI de compliance sont souvent ambigus car une même évolution statistique peut correspondre à des réalités opposées. Par exemple, une hausse du nombre d’alertes internes peut indiquer soit une augmentation des comportements problématiques, soit une meilleure détection grâce à une culture plus ouverte. À l’inverse, une baisse des alertes peut refléter une amélioration des pratiques ou une perte de confiance dans le dispositif. L’absence de signalement ne signifie pas nécessairement l’absence de risque : elle peut aussi révéler une peur des représailles ou une inefficacité perçue. Pour interpréter correctement ces données, il faut les croiser avec d’autres éléments comme la typologie des alertes, le niveau hiérarchique des auteurs ou les délais de traitement. Par exemple, une entreprise peut afficher un taux de 97 % de tiers à risque évalués, mais si aucune de ces évaluations n’a conduit à une action correctrice (refus de contrat, surveillance renforcée), le dispositif reste inefficace.

L’objectif de zéro incident est souvent présenté comme vertueux, mais il peut devenir contre-productif s’il est traité comme un indicateur de performance. Une organisation qui valorise trop fortement l’absence d’incidents déclarés peut inciter les équipes à ne pas les détecter, à les minimiser ou à les gérer en interne sans escalade. Par exemple, une baisse artificielle du nombre d’alertes peut masquer une augmentation réelle des risques. Le danger réside dans le biais de cible : lorsque les collaborateurs s’organisent autour de l’indicateur plutôt que de la réalité qu’il est censé représenter. Une question plus pertinente pour les dirigeants serait : « Quelle est notre capacité à détecter les incidents qui existent ? » plutôt que « Combien d’incidents avons-nous eus ? ».

Les indicateurs d’activité (nombre de formations, contrôles, alertes traitées) sont indispensables pour vérifier que les dispositifs fonctionnent, mais ils ne suffisent pas. Ils doivent être complétés par des indicateurs de qualité et d’impact. Par exemple, un taux de 95 % de salariés formés est rassurant, mais il ne dit rien sur la compréhension réelle des enjeux ou l’appropriation des bonnes pratiques. Une formation peut être suivie sans être comprise ou appliquée. De même, une due diligence (évaluation des risques d’un tiers) peut être réalisée sans conduire à une décision différente (refus de contrat, surveillance accrue). La maturité d’un dispositif se mesure à sa capacité à influencer les décisions et à réduire la récurrence des incidents. Par exemple, si une même anomalie réapparaît malgré plusieurs plans d’action, le problème n’est plus individuel mais structurel.

Un indicateur souvent sous-estimé est le moment où la compliance intervient dans les processus métier. Deux entreprises peuvent avoir le même nombre de consultations adressées à leur direction de la conformité, mais avec des résultats très différents. Dans la première, la plupart des demandes surviennent après la signature d’un contrat ou après la découverte d’une anomalie, ce qui signifie que la compliance corrige les problèmes a posteriori. Dans la seconde, les consultations interviennent avant que des décisions ne deviennent difficiles à réverser, ce qui montre une intégration proactive de la compliance dans les processus. Par exemple, une entreprise peut suivre non seulement le nombre total de consultations, mais aussi la proportion de celles qui interviennent en amont des décisions sensibles. Cela révèle le niveau de maturité de l’organisation.

La récurrence des incidents après remédiation est un indicateur plus révélateur que leur volume total. Par exemple, dix incidents ne valent pas nécessairement deux fois cinq incidents si les mêmes problèmes se répètent malgré des plans d’action. Une organisation mature ne se contente pas de clôturer les cas, mais mesure sa capacité à empêcher leur reproduction. De plus, les moyennes peuvent masquer des risques concentrés. Par exemple, un délai moyen de traitement de 45 jours peut cacher des alertes simples résolues en quelques jours et des dossiers critiques ouverts pendant 8 mois. Un taux global de formation de 95 % peut masquer une population exposée à seulement 60 %. La compliance s’intéresse rarement à la moyenne, mais aux concentrations anormales de risques dans une filiale, une zone géographique ou un type de transaction.

Une compliance performante prévient des événements qui n’ont pas lieu, ce qui rend sa valeur difficile à mesurer. Par exemple, une opération peut être abandonnée après une due diligence révélant des signaux préoccupants, ou une décision commerciale peut être restructurée après une consultation précoce de la compliance. Ces situations n’apparaissent pas dans les statistiques car elles n’ont pas généré d’incident. La tentation de traduire ces événements en « pertes évitées » (par exemple, des millions d’euros attribués à un risque qui ne s’est pas matérialisé) est risquée, car elle repose sur des hypothèses contrefactuelles. La valeur de la compliance réside aussi dans la réduction de l’incertitude, la qualité des arbitrages, la traçabilité des décisions et la capacité à sécuriser des opérations plutôt qu’à les interdire.

Une amélioration du dispositif de compliance peut temporairement dégrader certains indicateurs. Par exemple, une meilleure détection peut augmenter le nombre d’anomalies signalées, une campagne de sensibilisation peut faire monter le nombre d’alertes, ou des contrôles plus pertinents peuvent révéler davantage de défaillances. Ces évolutions ne signifient pas que l’organisation devient plus risquée, mais qu’elle devient meilleure pour voir ses risques. À l’inverse, une organisation peu mature peut afficher des indicateurs rassurants simplement parce qu’elle détecte peu. Une fonction compliance mature doit donc accepter que ses premières statistiques soient moins flatteuses, car elles reflètent une prise de conscience accrue des risques. Par exemple, une hausse des alertes peut indiquer une amélioration de la culture de la conformité plutôt qu’une dégradation de la situation.