L’essentiel
- Un système de gestion de la conformité réunit en un seul programme les politiques, les contrôles, la supervision et les preuves qui maintiennent une organisation alignée sur ses obligations légales, réglementaires et éthiques.
- Les régulateurs et la norme internationale ISO 37301 décrivent la même ossature : supervision du conseil, programme de conformité opérationnel, surveillance et audit.
- ISO 37301 rend le système de gestion de la conformité certifiable et l’appuie sur un cycle Planifier-Déployer-Contrôler-Agir, afin qu’il progresse au lieu de dormir dans un classeur.
- L’intelligence artificielle élargit le périmètre. Avec le règlement européen sur l’IA et la norme ISO/IEC 42001, les systèmes d’IA deviennent des actifs réglementés que votre programme doit couvrir.
- Les obligations applicables aux systèmes à haut risque entrent en vigueur le 2 août 2026, ce qui fait basculer le système de gestion de la conformité adapté à l’IA du superflu à l’indispensable.
Qu’est-ce qu’un système de gestion de la conformité ?
Un système de gestion de la conformité désigne la manière structurée dont une organisation respecte ses obligations et le démontre. Il rassemble les politiques, les procédures, les contrôles, la formation, la surveillance et les enregistrements au sein d’un même programme doté d’une responsabilité claire, plutôt que de confier chaque règle à un tableur ou à une boîte de réception différente. Le mot système a son importance. Un empilement de politiques ne constitue pas davantage un système de gestion de la conformité qu’un tas de briques ne forme un bâtiment. Ce qui transforme des documents en système, c’est le tissu conjonctif : une personne responsable au sommet, des processus qui se déroulent selon un calendrier, des preuves collectées au fil de l’activité, et une boucle de rétroaction qui corrige ce que la surveillance révèle. La norme internationale de référence, ISO 37301:2021, définit le système de gestion de la conformité comme l’ensemble des éléments corrélés qu’une organisation utilise pour établir ses politiques et objectifs de conformité, ainsi que les processus permettant de les atteindre. Autrement dit, c’est la façon dont une entreprise détermine les règles applicables, conçoit des contrôles pour les honorer, vérifie que ces contrôles fonctionnent et rectifie le tir lorsqu’ils faiblissent. La valeur n’a rien d’abstrait. Un système de gestion de la conformité opérant réduit le risque de sanctions, raccourcit les audits parce que les preuves existent déjà, et offre à la direction une image honnête des obligations tenues et de celles qui ne le sont pas. L’approche d’une plateforme de gouvernance de l’IA fait de cette image le produit lui-même : une source de vérité unique pour les obligations, les contrôles et les preuves.
Les composantes d’un système de gestion de la conformité
Les cadres emploient des étiquettes différentes, mais ils convergent vers les mêmes composantes. Les régulateurs bancaires américains les décrivent de la manière la plus concrète, et leur modèle se transpose bien à tout secteur.
Supervision du conseil et de la direction
Un système de gestion de la conformité commence par l’impulsion venue du sommet. La FDIC place la supervision du conseil et de la direction au premier rang : la gouvernance alloue les ressources, nomme un responsable conformité, fixe l’appétence au risque et décide de la portée et de la fréquence des audits. Point décisif, les conclusions d’audit remontent directement au conseil ou à l’un de ses comités, ce qui préserve l’indépendance de la fonction vis-à-vis de ceux qu’elle contrôle. La supervision n’a rien de protocolaire. Lorsqu’un régulateur demande pourquoi un contrôle a échoué, la première question est de savoir si la direction connaissait le risque et a choisi de financer la réponse. Un système de gestion de la conformité consigne ces décisions afin que la responsabilité soit traçable.
Le programme de conformité
Le second pilier est le programme opérationnel, et il comporte quatre rouages que le système de notation FFIEC examine :
- Des politiques et procédures qui traduisent chaque obligation en instructions précises pour les personnes concernées.
- De la formation, pour que les équipes comprennent les règles propres à leur fonction, actualisée lorsque la réglementation évolue.
- De la surveillance et de l’audit, c’est-à-dire les contrôles courants qui confirment le fonctionnement des dispositifs, et la revue indépendante périodique qui confirme la solidité de la surveillance elle-même.
- Le traitement des réclamations et des incidents, le canal qui transforme une plainte client ou une alerte interne en action corrective suivie.
C’est là que se logent les questions récurrentes. Les trois C de la conformité, souvent résumés par une culture de la conformité, des contrôles adaptés et une communication constante, décrivent le comportement que ces quatre fonctions doivent produire. Les quatre piliers d’un système de gestion de la conformité, formulés ainsi, sont généralement la supervision du conseil, les politiques et procédures, la formation, et la surveillance et l’audit. Les étiquettes comptent moins que le fait de savoir si chaque fonction tourne réellement et produit des preuves.
ISO 37301 : la norme derrière le système de gestion de la conformité
ISO 37301:2021 est la norme internationale qui formalise l’ensemble. Elle a remplacé et annulé ISO 19600:2014, et l’évolution majeure tient à son statut : ISO 37301 est une norme de système de management de type A, ce qui signifie qu’une organisation peut être certifiée par un organisme accrédité, et non plus seulement s’en inspirer. La norme repose sur le cycle Planifier-Déployer-Contrôler-Agir et sur la structure de haut niveau commune à toutes les normes de management de l’ISO. Planifier couvre le contexte de l’organisation, le leadership, la planification et le support. Déployer couvre l’exploitation. Contrôler couvre l’évaluation des performances. Agir couvre l’amélioration. Comme le cycle se répète, un système de gestion de la conformité certifié ISO 37301 est censé s’améliorer à chaque tour plutôt que de se figer après le premier audit. ISO 37301 se veut aussi délibérément générique. Elle s’applique aux organisations de toute taille, de tout secteur et de tout profil de risque, publiques ou privées, ce qui en a fait la référence vers laquelle éditeurs GRC et régulateurs renvoient. Pour bâtir un système de gestion de la conformité à partir de zéro, la norme reste le plan le plus défendable.
Pourquoi un système de gestion de la conformité s’impose aujourd’hui
Trois pressions ont hissé le système de gestion de la conformité au rang de préoccupation du conseil d’administration. La première est le volume réglementaire. Le nombre de règles qu’une entreprise doit suivre, en matière de protection des données, de sécurité, de conduite financière et désormais d’intelligence artificielle, ne cesse de croître, et ces obligations se recoupent de plus en plus. Les suivre dans des tableurs disjoints ne tient pas à l’échelle. La deuxième est le coût de l’échec. Sanctions, remédiation et atteinte à la réputation dépassent régulièrement le coût des contrôles qui les auraient évités. Un système de gestion de la conformité revient moins cher que l’incident qu’il prévient. La troisième est le passage de la conformité périodique à la conformité continue. Les attestations annuelles cèdent la place à l’attente d’une surveillance continue des contrôles et de preuves toujours à jour. Cette exigence est difficile à satisfaire manuellement, raison pratique pour laquelle les organisations délaissent le classeur au profit de l’outillage.
Ce que l’IA change : le système de gestion de la conformité rencontre la gouvernance de l’IA
C’est ici que la plupart des guides s’arrêtent, et c’est ici que se joue le vrai basculement. Pendant des décennies, un système de gestion de la conformité gouvernait des personnes et des processus. Il doit désormais gouverner un nouveau type d’actif réglementé : le système d’IA lui-même. L’intelligence artificielle introduit des obligations qui s’insèrent mal dans un programme traditionnel. Les modèles dérivent, les données d’entraînement portent un poids juridique et éthique, les décisions automatisées touchent aux droits fondamentaux, et les responsables ne savent souvent pas expliquer pleinement le résultat. Les régulateurs ont répondu par des exigences qui ressemblent fort à un système de gestion de la conformité appliqué à l’IA. Le règlement européen sur l’IA en est l’illustration la plus nette. Son article 9 impose aux fournisseurs de systèmes à haut risque un système de gestion des risques conçu comme un processus continu et itératif sur tout le cycle de vie de l’IA, qui identifie les risques prévisibles, éprouve les mesures d’atténuation et réintègre la surveillance après commercialisation. L’article 17 va plus loin et exige un système de gestion de la qualité documenté couvrant la conception, le développement, les essais, la gouvernance des données, la surveillance après commercialisation et le signalement des incidents. Ces obligations à haut risque deviennent applicables le 2 août 2026, et le délai est donc court. Le monde normatif a répondu avec ISO/IEC 42001:2023, la première norme de système de management de l’IA. Publiée en décembre 2023, elle reprend la structure d’ISO 37301 à travers les chapitres 4 à 10, du contexte et du leadership jusqu’à l’exploitation et l’amélioration, mais y ajoute des exigences propres à l’IA : gestion des risques liés à l’IA, évaluation de l’impact des systèmes, gestion du cycle de vie et surveillance des fournisseurs tiers. Aux États-Unis, le cadre NIST de gestion des risques liés à l’IA propose une structure volontaire complémentaire, organisée autour de gouverner, cartographier, mesurer et gérer. En pratique, étendre un système de gestion de la conformité à l’IA suppose quelques ajouts concrets : un inventaire vivant de chaque système d’IA en service, une classification de risque pour chacun, une documentation technique et des preuves par système, des contrôles de supervision humaine, et une surveillance après commercialisation qui observe le comportement du modèle plutôt qu’un contrôle figé. Une plateforme de gouvernance de l’IA existe précisément pour porter cette charge, de sorte que la couche IA s’enclenche dans le même programme qui régit déjà la protection des données et la sécurité, sans en créer un second en parallèle.
Choisir et faire vivre un système de gestion de la conformité
Un système de gestion de la conformité ne vaut que par son exploitation quotidienne. Deux décisions en déterminent l’efficacité.
Construire, acheter ou plateforme
Les petites organisations partent souvent de documents et de tableurs. Cela se défend tant que le nombre d’obligations et la fréquence des contrôles n’excèdent pas ce qu’une personne peut retenir. L’étape suivante est un logiciel dédié qui stocke les politiques, les relie aux contrôles et planifie la surveillance. La troisième option, de plus en plus pertinente, est une plateforme qui comprend aussi les systèmes d’IA comme des actifs réglementés, afin qu’un même outil couvre ISO 37301, le règlement sur l’IA et ISO 42001 sans second système. La bonne réponse dépend de l’exposition réglementaire, et non de la seule taille de l’entreprise.
De la conformité périodique à la conformité continue
Quel que soit l’outil retenu, l’objectif est d’intégrer la collecte des preuves au flux de travail. Plutôt que de courir avant un audit, un système de gestion de la conformité solide capte la preuve à mesure que les tâches s’achèvent, surveille les contrôles selon un calendrier et fait remonter les écarts dès leur apparition. L’automatisation compte moins pour l’économie réalisée que pour l’actualité de l’information : un contrôle vérifié une fois l’an est un contrôle dont on ignore l’état réel. La surveillance continue est ce qui fait passer le système de gestion de la conformité d’un registre du passé à une vue du présent.
Exemples de systèmes de gestion de la conformité
Quelques images concrètes éclairent le propos. Une banque exploite un système de gestion de la conformité façonné par le modèle de la FDIC et du FFIEC : supervision du conseil, politiques écrites, formation obligatoire, surveillance des opérations, audit indépendant et canal de traitement des réclamations, le tout examiné périodiquement par les régulateurs. Un industriel vise la certification ISO 37301 pour donner à ses clients et aux régulateurs l’assurance d’un tiers que son système de gestion de la conformité atteint un référentiel international, en s’appuyant sur le cycle Planifier-Déployer-Contrôler-Agir pour progresser d’année en année. Un éditeur de logiciels déployant un système d’IA à haut risque construit un système de gestion de la conformité dédié à l’IA, aligné sur le règlement européen et sur ISO 42001 : un inventaire de ses modèles, un processus de gestion des risques documenté au titre de l’article 9, un système de gestion de la qualité au titre de l’article 17, une supervision humaine et une surveillance après commercialisation. C’est le cas pour lequel AI Sigil est conçu, où le système de gestion de la conformité et la gouvernance de l’IA forment un seul programme et non deux.
Questions fréquentes
Quel est un exemple de système de gestion de la conformité ? Le programme de conformité d’une banque en est un cas d’école : supervision du conseil, politiques et procédures écrites, formation du personnel, surveillance des opérations, audit indépendant et canal de réclamation, le tout revu par les régulateurs. Un exemple moderne est un système de gestion de la conformité dédié à l’IA, qui inventorie les modèles d’une organisation et relie chacun à ses obligations au titre du règlement européen sur l’IA et d’ISO 42001. Quels sont les trois C de la conformité ? Les trois C sont souvent décrits comme une culture de la conformité portée par la direction, les contrôles qui imposent les obligations dans le travail quotidien, et une communication et une formation constantes pour que les équipes connaissent les règles. Ils décrivent le comportement qu’un système de gestion de la conformité sain doit produire. Quels sont les quatre piliers d’un système de gestion de la conformité ? Ils se formulent en général ainsi : supervision du conseil et de la direction, politiques et procédures, formation, et surveillance et audit. Certains modèles ajoutent le traitement des réclamations et des incidents comme élément distinct. L’essentiel est que chaque fonction tourne en pratique et produise des preuves, plus que le nombre exact. ISO 37301 est-elle obligatoire ? Non. ISO 37301 est une norme internationale volontaire, mais elle est certifiable : les organisations l’adoptent pour démontrer à leurs clients, partenaires et régulateurs que leur système de gestion de la conformité atteint un référentiel reconnu. Des lois précises, comme le règlement européen sur l’IA pour les systèmes d’IA, imposent par-dessus leurs propres exigences obligatoires. Comment un système de gestion de la conformité s’applique-t-il aux systèmes d’IA ? Les systèmes d’IA sont désormais des actifs réglementés : ils relèvent donc du système de gestion de la conformité. Cela suppose un inventaire vivant des systèmes d’IA, une classification de risque pour chacun, la gestion continue des risques exigée par l’article 9 du règlement, le système de gestion de la qualité exigé par l’article 17, une supervision humaine et une surveillance après commercialisation, idéalement alignés sur ISO/IEC 42001. Quelle différence entre un système de gestion de la conformité et la GRC ? La gouvernance, les risques et la conformité forment la discipline la plus large, qui englobe la gouvernance d’entreprise et la gestion des risques aux côtés de la conformité. Un système de gestion de la conformité est le moteur spécifiquement dédié à la conformité au sein de ce paysage GRC plus vaste, centré sur le respect et la preuve des obligations.
Conclusion
Un système de gestion de la conformité a toujours poursuivi un seul but : transformer un ensemble de règles éparses en un programme que l’on peut exécuter et prouver. Les composantes classiques, supervision du conseil, programme de conformité opérationnel, surveillance, audit et ossature ISO 37301, n’ont pas changé. Ce qui a changé, c’est le périmètre. L’intelligence artificielle est devenue un actif réglementé, et le règlement européen comme ISO 42001 attendent désormais la même rigueur de gestion appliquée à vos modèles, avec une première échéance ferme au 2 août 2026. Les organisations qui étendent dès maintenant leur système de gestion de la conformité à l’IA, au lieu de bâtir plus tard un programme distinct, dépenseront moins et prouveront davantage. C’est le système que AI Sigil est conçu pour faire fonctionner.