ISO 37001 : mettre en oeuvre un système de management anticorruption avec un logiciel

ISO 37001 définit les exigences d'un système de management anti-corruption (SMAC) : politique, analyse des risques, diligences raisonnables, formation, contrôles financiers, signalement et revue de direction. [lu : ISO 37001, Systèmes de management anti-corruption, norme internationale] La norme ne prescrit pas d'outil spécifique, mais chaque exigence produit une preuve documentaire que l'auditeur de certification attend. Un logiciel ne remplace pas la décision humaine : il structure les flux, conserve les traces et rend le dispositif défendable. La question centrale n'est pas "faut-il un logiciel ?" mais "quel niveau de volume et de complexité rend un logiciel plus fiable qu'un tableur ?" Pour une organisation assujettie à la loi Sapin 2 et qui vise simultanément la certification ISO 37001, la réponse dépend du nombre d'entités couvertes, du nombre de tiers évalués et de la capacité à produire les pièces rapidement en cas de contrôle. Ce guide parcourt les exigences clés de la norme et montre comment un logiciel organise chaque bloc de preuve.

Qu'est-ce que la norme ISO 37001 certifie exactement ?

ISO 37001 certifie qu'une organisation a mis en place un système de management anti-corruption conforme à ses exigences, et non qu'elle est exempte de tout risque de corruption. [lu : ISO 37001, Systèmes de management anti-corruption] La distinction est fondamentale : l'auditeur de certification vérifie la maturité du dispositif, la cohérence de ses composants et la traçabilité des preuves, pas l'absence d'incidents. Le SMAC doit couvrir la politique anticorruption, la cartographie des risques, les diligences sur les tiers, les contrôles financiers, la formation des personnels exposés, le canal de signalement et la revue de direction. Un logiciel structure ces blocs et conserve les liens entre eux, ce qui simplifie la préparation à l'audit.

Quelle relation y a-t-il entre ISO 37001 et la loi Sapin 2 ?

ISO 37001 et la loi Sapin 2 partagent une architecture commune : les deux exigent une cartographie des risques, des diligences raisonnables sur les tiers et un programme de formation. [lu : ISO 37001, norme internationale ; loi Sapin 2, article 17, droit français] Les différences portent sur le périmètre d'assujettissement, le contrôleur compétent et certaines exigences spécifiques. Pour une organisation soumise à l'article 17 de la loi Sapin 2, l'Agence française anticorruption (AFA) est l'autorité de contrôle ; la certification ISO 37001 peut contribuer à démontrer la robustesse du programme, sans se substituer à la conformité légale. Optivalue.ai guide les équipes pour aligner les deux référentiels dans un dispositif unique plutôt que de tenir deux programmes parallèles.

Pour aller plus loin sur le programme anticorruption en droit français, voir l'article Sapin 2 : anticorruption et programme de conformité.

Quelles exigences ISO 37001 un logiciel outille-t-il en priorité ?

Un logiciel de SMAC outille en priorité les exigences qui produisent les volumes documentaires les plus importants : la cartographie des risques de corruption, les diligences raisonnables sur les tiers, la gestion des déclarations de conflits d'intérêts, le registre des cadeaux et invitations, et le suivi des formations. [lu : ISO 37001, Systèmes de management anti-corruption] Ces exigences génèrent des preuves individuelles par personne, par tiers ou par transaction : un tableur atteint ses limites dès que le volume dépasse ce qu'une équipe peut tenir à jour manuellement sans perte ni erreur.

Pour la gestion des déclarations, voir l'article Conflits d'intérêts : déclarations et prévention des risques.

Comment un logiciel structure-t-il la cartographie des risques de corruption ?

La cartographie des risques de corruption exigée par ISO 37001 identifie les scénarios de corruption par processus, par zone géographique et par catégorie de tiers. [lu : ISO 37001, Systèmes de management anti-corruption] Un logiciel permet de relier chaque scénario aux mesures préventives associées et de documenter la cotation : probabilité, impact, niveau de risque résiduel. Cette traçabilité est ce que l'auditeur de certification vérifie en premier, car elle démontre que la cartographie a réellement servi à orienter les mesures plutôt qu'à remplir un livrable formel.

Pour les critères de construction d'une cartographie défendable, voir l'article Cartographie des risques : méthode et outils pour ETI.

Comment les diligences raisonnables sur les tiers s'intègrent-elles au SMAC ?

ISO 37001 exige que les diligences raisonnables soient proportionnées au niveau de risque identifié pour chaque tiers. [lu : ISO 37001, Systèmes de management anti-corruption] Un logiciel permet d'attribuer automatiquement un niveau de vérification selon la catégorie et la zone géographique du tiers, de collecter les documents de vérification et de conserver la trace de la décision prise. Pour les organisations qui gèrent un grand nombre de tiers, ce flux automatisé évite les vérifications oubliées et les dossiers incomplets au moment d'un audit.

Pour le programme de gestion des risques tiers, voir l'article Know Your Supplier : évaluation des tiers et programme KYS et l'article LCB-FT : lutte anti-blanchiment et logiciel.

Comment préparer la revue de direction ISO 37001 avec un logiciel ?

La revue de direction ISO 37001 exige que la direction examine périodiquement la performance du SMAC et décide des ajustements nécessaires. [lu : ISO 37001, Systèmes de management anti-corruption] Un logiciel consolide les indicateurs clés : taux de completion des formations, nombre de déclarations reçues et traitées, résultats des audits internes, non-conformités et actions correctives ouvertes. Ce tableau de bord prépare la revue sans retraitement manuel et produit le compte-rendu signé que l'auditeur de certification demande comme preuve d'engagement de la direction.

Questions fréquentes

ISO 37001 est-elle obligatoire en France ? Non. ISO 37001 est une norme volontaire de certification. En France, l'obligation légale pour les entreprises assujetties vient de la loi Sapin 2, article 17, qui exige un programme anticorruption mais ne prescrit pas la certification ISO 37001.

Un logiciel ISO 37001 peut-il couvrir plusieurs entités d'un groupe ? Oui, à condition qu'il permette de gérer des périmètres distincts tout en consolidant la vision groupe. La question à poser lors de l'évaluation est : comment le logiciel distingue-t-il les risques propres à chaque filiale des risques consolidés ?

Faut-il refaire entièrement la cartographie après une réorganisation ? Pas nécessairement. La norme exige que la cartographie reflète la réalité des processus et des expositions. Une réorganisation majeure doit déclencher une mise à jour ciblée sur les processus et les tiers affectés, avec une trace documentée de la révision.

Optivalue.ai propose-t-il une démonstration du module ISO 37001 ? Optivalue.ai guide les équipes à travers une démonstration sur dossier réel. Pour en savoir plus : demander une démonstration.

---

Haut de page