La page complète du module

Contrôle de conformité : le programme d’intégrité qui tient debout en audit

Matrice réglementaire, contrôles internes avec tests d’efficacité, risques, politiques acceptées par version, formations obligatoires, diligence raisonnable des tiers confrontée aux listes de sanctions CEIS et CNEP, déclarations de conflit d’intérêts, incidents avec mesures correctives, canal d’alerte éthique cloisonné, portail public de signalement avec numéro de dossier et jeton, évaluation du programme selon le décret 11.129/2022, calendrier des obligations exportable, revue des accès avec séparation des tâches lue sur les droits réels, volet opérationnel de la protection des données avec registre des traitements, analyse d’impact et délai de 3 jours ouvrés de l’ANPD, campagnes d’attestation répondues par lien personnel, comité doté d’un ordre du jour construit tout seul et suivi anti-représailles pour les lanceurs d’alerte. Le tout dans le système qui contient déjà le contrat, la promotion, le fournisseur et le collaborateur.

C’est la couche gouvernance, risques et conformité de la plateforme, avec le module Incidents et continuité. Voici la référence complète du module sur une seule page : les dix-neuf écrans d’administration, le portail public du canal d’alerte et des campagnes, la bibliothèque de modèles prêts à l’emploi, les domaines fonctionnels avec chaque fonction listée une par une, les choix de conception qui expliquent pourquoi le système refuse certaines choses, les frontières avec les autres modules et un glossaire des termes de l’intégrité et de la protection des données.

Parler à un spécialisteVoir les tarifs
  • 19écrans d’administration, de l’évaluation du programme à la revue des accès
  • 9piliers d’évaluation, suivant l’art. 57 du décret 11.129/2022
  • 34contrôles de surveillance continue, qui tournent tout seuls chaque jour
  • 70éléments dans la bibliothèque de modèles, des politiques aux guides d’enquête
  • 4règles de confidentialité sur le portail public, aucune n’étant facultative

Dans le module

19 screens, in the order the work happens

Cinq groupes dans le menu d’administration. La conformité légale énonce ce que l’entreprise doit respecter, traite la protection des données et rend compte au comité ; les contrôles prouvent qu’elle le fait et que personne ne cumule des fonctions incompatibles ; les règles internes atteignent les personnes par des campagnes ; l’intégrité traite les tiers et les manquements ; et le paramétrage couvre ce que le module applique de lui-même ainsi que le portail public du canal d’alerte.

01

Conformité légale

La liste des obligations qui s’appliquent à l’entreprise, avec l’évaluation de chacune et les preuves qui la soutiennent.

7 screens
  • Tableau de bordConformité par référentiel, contrôles en retard et inefficaces, ce que le canal d’alerte a en cours et la couverture d’intégrité des tiers. Du canal d’alerte, seulement le nombre.
  • Évaluation du programmeUn score de 0 à 100 sur neuf piliers du programme d’intégrité, calculé à partir de ce qui est déjà consigné, avec les prochaines actions qui font le plus monter le score et la traçabilité de chaque exigence jusqu’au contrôle, au test et à la preuve.
  • Calendrier des obligationsToutes les dates du programme dans une seule liste, du test trimestriel à l’expiration d’une diligence, les retards en haut et l’export vers l’agenda de celui qui porte chaque échéance.
  • Matrice réglementaireExigence par exigence, avec applicabilité, criticité, fréquence de revue, statut de conformité et preuves jointes.
  • Confidentialité et LGPDRegistre des traitements avec des suggestions construites à partir des modules utilisés par l’entreprise, analyse d’impact pour les traitements sensibles, incidents de sécurité touchant des données personnelles avec le compte à rebours de 3 jours ouvrés de l’ANPD, et demandes des personnes concernées lues en direct avec le délai de 15 jours.
  • Comité et résolutionsRéunion du comité avec un ordre du jour construit sur-le-champ : alertes graves ouvertes, dossiers du canal d’alerte en retard sous forme de simple comptage, risques au-dessus de l’appétence, actions en retard et score du programme. Présences, procès-verbal et résolutions qui naissent directement comme actions correctives.
  • Rapport au comitéLe dossier de la période prêt à imprimer et à annexer au procès-verbal, construit à partir des mêmes points d’accès que les écrans. Du canal d’alerte, seulement des comptages, toute case sous 3 dossiers s’affichant « <3 ».
02

Contrôles et risques

Le contrôle interne qui atténue le risque, le test qui prouve qu’il fonctionne et la matrice qui montre où l’entreprise est exposée.

4 screens
  • Contrôles internesDescription, responsable, fréquence, type, dernier test, dernier résultat et date du prochain test, calculée à partir de la fréquence déclarée.
  • Tests d’efficacitéLe test consigné avec échantillon, résultat et conclusion, qui met à jour le contrôle dans la foulée.
  • RisquesMatrice 5x5 avec probabilité, impact, niveau obtenu, appétence au risque de l’entreprise et contrôles d’atténuation rattachés à chaque risque.
  • Revue des accèsQui peut créer et valider le même paiement, lu dans les droits réels de chacun. À côté, les comptes laissés par des personnes parties, les droits sensibles sans second facteur ou inutilisés depuis des mois, et les paiements faits à des fournisseurs refusés, sanctionnés ou dont la diligence a expiré.
03

Règles internes et personnes

La politique en vigueur, la version que chacun a acceptée et la formation qu’il devait suivre.

3 screens
  • PolitiquesTexte, version, période de validité et statut. Publier une nouvelle version rend la précédente caduque, celle-ci conservant ses acceptations intactes.
  • FormationFormations obligatoires par public, avec échéance, preuve de suivi et liste des retardataires.
  • Campagnes d’attestationAcceptation d’une politique, déclaration annuelle de conflit d’intérêts ou accusé de suivi d’une formation lancés à tout un public, avec un lien personnel auquel on répond sur le portail, une participation suivie en direct et une échéance surveillée.
04

Intégrité

Le tiers que l’entreprise engage, le conflit que le collaborateur déclare, le manquement qui remonte et le canal par lequel il arrive.

4 screens
  • Canal d’alerte éthiqueDes dossiers avec numéro, catégorie, enquêteurs désignés, échéance et journal de qui a lu chaque dossier. Un signalement anonyme ne conserve ni l’auteur ni l’adresse IP, et un dossier venu du portail public n’est d’abord visible que par le responsable du canal. Celui-ci peut aussi auditer qui a lu quoi sur l’ensemble du canal, et un dossier fondé fait l’objet d’un suivi anti-représailles à 30, 90 et 180 jours.
  • Diligence raisonnable des tiersÉvaluation de l’intégrité du partenaire, avec sanctions, personne politiquement exposée, avis écrit, décision et date d’expiration. Les sanctions se vérifient auprès du CEIS et du CNEP en un clic, par CPF ou CNPJ. Sans date d’expiration, la fiche compte comme en attente.
  • DéclarationsConflits d’intérêts, cadeaux et invitations déclarés par le collaborateur, avec un avis écrit de celui qui a approuvé ou refusé.
  • IncidentsIncident avec enquête, actions correctives, vérification d’efficacité et clôture. Un incident comportant une action ouverte ne peut pas être clos.
05

Configuration

Les réglages pour qui pilote le module, plus la bibliothèque de départ des référentiels et des exigences.

1 screen
  • ConfigurationActivation du module, référentiels adoptés, verrous de preuve, délais du canal d’alerte, ouverture du portail public, règles de surveillance continue et chargement de la bibliothèque, avec l’historique de qui a activé quoi.

Le problème et la réponse

Ce qui change au quotidien pour ceux qui portent le programme

Le point de douleur

La matrice de conformité est verte parce que la moitié des points ont été marqués « sans objet » sans que personne dise pourquoi.

Avec Partiu Formatura

Le serveur refuse de marquer une exigence comme sans objet sans justification écrite. En audit, l’exclusion se défend au lieu de devenir une non-conformité.

Le point de douleur

L’entreprise a soixante contrôles décrits dans un document et aucun n’a été testé cette année.

Avec Partiu Formatura

Un contrôle, c’est ce qui a été testé, pas ce qui a été décrit. La date du prochain test découle de la fréquence déclarée, et un contrôle en retard apparaît sur le tableau de bord avant l’audit.

Le point de douleur

Le code de conduite a été révisé et personne ne sait qui a accepté quel texte.

Avec Partiu Formatura

L’acceptation se fait par version. Publier une nouvelle version n’hérite pas de l’acceptation de la précédente, et l’enregistrement conserve la date, l’adresse d’origine et la version exacte que la personne a lue.

Le point de douleur

Le signalement est arrivé par e-mail et a traversé quatre boîtes avant d’atteindre celui qui devait enquêter.

Avec Partiu Formatura

Un canal avec numéros de dossier, enquêteurs désignés par dossier et journal de lecture obligatoire. Qui n’est pas sur le dossier ne peut pas l’ouvrir, et chaque lecture est consignée.

Le point de douleur

Le fournisseur a été approuvé lors d’une diligence d’il y a trois ans et personne ne l’a revue depuis.

Avec Partiu Formatura

Une diligence sans date d’expiration est traitée comme expirée, et la couverture des tiers ne compte que les dossiers dotés d’une décision valide aujourd’hui.

Le point de douleur

L’incident a été clos avec un plan d’action encore en attente, et personne n’a jamais suivi ce plan.

Avec Partiu Formatura

Un incident ne se clôt pas avec une action ouverte. Une action terminée passe encore par la vérification d’efficacité, et une action inefficace ne retourne pas en attente : on en ouvre une nouvelle.

Le point de douleur

Le module a été acheté et est resté vide, parce que personne ne rédige un code de conduite dans un formulaire de saisie.

Avec Partiu Formatura

La bibliothèque livre politiques, contrôles, risques, parcours de formation, plans d’action, guides de diligence et guides d’enquête prêts à l’emploi, dans une langue neutre que le service juridique ajuste. Rien de tout cela ne vaut conformité : les politiques démarrent en brouillon et les contrôles démarrent comme jamais testés.

Le point de douleur

Les signalements de personnes sans compte dans l’entreprise arrivent par e-mail, dans une boîte que trois personnes consultent.

Avec Partiu Formatura

Le portail public reçoit le signalement sans compte, renvoie un numéro de dossier et un jeton de suivi, et le dossier n’est d’abord visible que par le responsable du canal. L’adresse d’origine de l’auteur n’est conservée nulle part.

Le point de douleur

Le rapport au comité se fabrique en recopiant les chiffres de cinq écrans dans un document à part, et les chiffres finissent par ne plus concorder.

Avec Partiu Formatura

Le rapport au comité vient des mêmes points d’accès que les écrans, en version imprimable et en CSV. Deux chemins de calcul divergeraient, et la réunion discuterait du bon chiffre au lieu de discuter du programme.

Le point de douleur

Un grand client a envoyé un questionnaire d’intégrité et personne ne sait dire où en est le programme.

Avec Partiu Formatura

L’évaluation note chaque pilier selon les paramètres du décret 11.129/2022, à partir de ce qui est consigné plutôt que d’une auto-évaluation, avec une courte liste de ce qui manque pour faire monter le score.

Le point de douleur

La matrice dit conforme, mais le contrôle de cette exigence a échoué à son dernier test et la preuve a expiré en mars.

Avec Partiu Formatura

La traçabilité relie chaque exigence à son contrôle, à son test et à sa preuve, et fait remonter en tête les points déclarés conformes sans rien derrière, avant qu’un auditeur ne les trouve.

Le point de douleur

Le fournisseur est entré sur une liste de sanctions publiques après son approbation, et l’entreprise l’a appris par la presse.

Avec Partiu Formatura

La diligence interroge le CEIS et le CNEP sur le Portal da Transparência par CNPJ, conserve le résultat daté sur la fiche elle-même et signale la sanction en cours, sans effacer ce que quelqu’un avait déjà indiqué à la main.

Le point de douleur

Le test trimestriel du contrôle est passé en retard parce que l’échéance vivait sur un écran que personne n’a ouvert ce mois-là.

Avec Partiu Formatura

Le calendrier réunit toutes les dates du programme et rejoint l’agenda de chacun avec un rappel une semaine à l’avance. Et la surveillance tourne toute seule chaque jour, signalant les problèmes graves nouveaux dans les notifications.

Le point de douleur

La politique de validation dit que celui qui saisit un paiement ne peut pas le valider, mais personne ne vérifie si le système laisse la même personne faire les deux.

Avec Partiu Formatura

La revue des accès croise la matrice des incompatibilités avec les rôles et droits réels de chaque utilisateur et montre la paire en conflit ainsi que le rôle qui accorde chaque côté. Celui qui dispose d’un accès total apparaît une fois, mis en évidence, et non sous forme de vingt conflits.

Le point de douleur

Le collaborateur est parti en juin et son compte était encore actif en septembre, avec des droits sur les finances.

Avec Partiu Formatura

Un compte actif appartenant à une personne sortie dans le module RH devient une alerte quotidienne, au même titre que les droits sensibles sans second facteur et ceux que personne n’utilise depuis des mois. L’écran exporte la liste pour la revue périodique des accès.

Le point de douleur

Le lien de photos a fuité un vendredi et l’entreprise ne s’est souvenue du délai de l’ANPD que le mercredi suivant.

Avec Partiu Formatura

Un incident touchant des données personnelles s’ouvre avec le compte à rebours de 3 jours ouvrés à partir de la prise de connaissance, l’appréciation du risque selon les critères de la résolution de l’ANPD et des notifications préremplies pour l’autorité et les personnes concernées. Dans la Continuité, un incident de données personnelles dispose déjà du bouton qui ouvre cette fiche.

Le point de douleur

Pour recueillir l’acceptation du code de conduite, les RH ont écrit à quatre cents personnes puis pointé chaque réponse dans un tableur.

Avec Partiu Formatura

La campagne choisit le public, génère le lien personnel de chacun et montre la participation en temps réel. La personne répond sur le portail sans compte, et l’acceptation atterrit dans la même table d’acceptations par version qui tient déjà devant une autorité.

Le point de douleur

Le signalement a été instruit, la personne sanctionnée, et trois mois plus tard le lanceur d’alerte a été muté dans un autre service sans explication.

Avec Partiu Formatura

Un dossier conclu comme fondé fait l’objet de vérifications anti-représailles à 30, 90 et 180 jours, visibles des seuls enquêteurs du dossier. Une vérification en retard devient une alerte qui n’affiche que le numéro de dossier.

Comment ça marche

Le chemin que suit l’information, du texte publié à l’alerte à l’écran

  1. 1

    L’obligation entre

    La bibliothèque de référentiels et d’exigences est chargée par entreprise, en un clic par qui paramètre le module, et le service juridique ajuste la formulation, la criticité et la fréquence à la réalité de l’entreprise.

  2. 2

    L’applicabilité est tranchée

    Chaque exigence reçoit une décision : elle s’applique, et il faut alors l’évaluer ; ou elle ne s’applique pas, et il faut alors la justifier. Une exigence sans objet sort du dénominateur de la matrice.

  3. 3

    Le contrôle le prouve

    L’exigence renvoie aux contrôles internes qui la soutiennent, et chaque test consigné met à jour le contrôle avec son résultat et la date du prochain test.

  4. 4

    La règle atteint les personnes

    La politique sort de la bibliothèque en brouillon, le service juridique complète la dernière section qui dépend de l’entreprise, et c’est seulement ensuite qu’elle est publiée et exige l’acceptation du public défini. Une formation obligatoire exige une preuve de suivi dans le délai.

  5. 5

    Le manquement remonte

    Par le canal interne, par le portail public ouvert aux personnes sans compte, par un incident consigné ou par la surveillance continue, qui balaie la base chaque jour avec des contrôles nommés.

  6. 6

    La remédiation referme la boucle

    Une action avec responsable et échéance, une vérification d’efficacité une fois terminée, et le contrôle ajusté pour que le même problème ne revienne pas.

Comment le système se comporte

24 decisions that explain everything else

Elles expliquent pourquoi le système ne fait parfois pas ce que vous attendez, et pourquoi c’est voulu.

« Sans objet » exige une justification

Marquer une exigence comme sans objet sans dire pourquoi est le trou classique d’une matrice de conformité. Le serveur refuse, et l’exigence justifiée sort du dénominateur : compter comme en attente ce que l’entreprise a justifié reviendrait à ce que la matrice ne se boucle jamais, et les utilisateurs apprendraient à ignorer l’indicateur.

Un contrôle, c’est ce qui a été testé

La description d’un contrôle ne prouve rien à elle seule. Dernier test, dernier résultat et prochaine échéance sont conservés sur le contrôle lui-même, mis à jour à chaque test, et le tableau de bord liste ce qui est en retard et ce qui a échoué sans attendre que quelqu’un monte un tableur.

L’acceptation se fait par version

Publier une nouvelle version d’une politique n’hérite pas de l’acceptation de la précédente, et une politique en vigueur ne se modifie pas. C’est exactement ce que l’entreprise doit démontrer en cas de procédure : que la personne a accepté le texte en vigueur, avec la date et l’origine consignées.

Le canal d’alerte n’appartient pas à l’administrateur

Le droit d’accès au canal est le seul du module qu’admin:all ne contourne pas, parce que dans un signalement la personne mise en cause peut être l’administrateur du système. Le droit ouvre l’écran ; voir un dossier exige de figurer sur sa liste d’enquêteurs ou d’être le responsable du canal.

Lire un signalement laisse toujours une trace

Ouvrir un dossier consigne la lecture, et si cet enregistrement échoue, la lecture est refusée. Tous les modules ont un journal d’écriture ; un journal de lecture n’existe qu’ici et pour les données de santé de la Santé et sécurité. L’écran « qui a lu ce dossier » se trouve dans le dossier lui-même, là où l’on regarde quand on soupçonne une fuite.

Un incident ne se clôt pas avec une action ouverte

Clore avec un plan d’action en attente est la façon la plus courante pour un programme de paraître efficace sans l’être : les incidents disparaissent de l’écran et les actions ne sont jamais suivies. Une action terminée passe encore par la vérification d’efficacité, et une action inefficace ne retourne pas en attente, car cela effacerait la trace de l’échec de la première tentative.

Une diligence sans expiration est une diligence expirée

Une fiche sans date d’expiration resterait approuvée pour toujours, et l’intégrité d’un tiers n’est pas un attribut permanent : des entreprises entrent sur des listes de sanctions après avoir été approuvées. La couverture ne compte que ce qui a une décision et reste valide aujourd’hui.

Les règles de surveillance ne stockent pas de SQL

Une règle désigne un contrôle nommé dans le code, et les paramètres ne portent que des nombres et des listes. Une requête arbitraire enregistrée dans une table puis exécutée plus tard, c’est de l’injection avec des étapes en plus, et la souplesse de règles paramétrables par le client ne vaut pas ce risque.

Sur internet, un numéro de dossier ne suffit pas

Dans le panneau d’administration, rechercher un dossier par son numéro n’est possible qu’après connexion et droit strict. Sur le portail public, les numéros sont séquentiels par entreprise, et toute la série peut être énumérée en quelques minutes. C’est pourquoi un dossier externe porte un jeton de vingt caractères, affiché une seule fois et conservé uniquement sous forme d’empreinte. Il n’existe aucune récupération par e-mail, car elle détruirait l’anonymat qui fait tout l’intérêt du canal.

Le portail ne distingue pas les erreurs

Un numéro inexistant, un jeton erroné, le dossier d’une autre entreprise et une durée de conservation écoulée renvoient tous la même réponse. Les distinguer donne déjà de l’information à qui tâte la porte. Pour la même raison, un canal fermé répond comme une adresse inexistante : dire qu’il existe mais qu’il est fermé révèle déjà que l’entreprise dispose du module.

L’adresse d’origine de l’auteur n’est pas conservée

Ni dans le signalement, ni dans le journal d’accès du portail. La limitation de débit utilise une empreinte de l’adresse avec un sel généré au démarrage du processus, qui ne vit qu’en mémoire et meurt avec lui. Une entreprise capable de croiser ses journaux d’accès avec les signalements anonymes n’a pas un canal anonyme, elle en a l’apparence.

Un modèle est un point de départ, jamais une conformité toute faite

Appliquer toute la bibliothèque ne peut pas faire passer le tableau de bord au vert. Les politiques arrivent en brouillon, les contrôles comme jamais testés et échus ce jour, les risques comme identifiés sans appétence. Déclarer une conformité que personne n’a vérifiée est précisément la faille que le module existe pour éviter.

Le rapport au comité ne contient rien du contenu des signalements

Il est imprimé, diffusé et annexé au procès-verbal. Y mettre le contenu d’une enquête ruinerait le cloisonnement que le reste du module maintient : du canal d’alerte, il ne reprend donc que des comptages et une répartition par catégorie, même pour les détenteurs du droit d’accès au canal.

Une évaluation sans questionnaire

Une évaluation qui dépend d’une auto-évaluation remplie par quelqu’un mesure la bonne volonté de celui qui l’a remplie et est périmée dès le lendemain. Le score est calculé sur-le-champ à partir de ce qui est consigné, et les critères sans base sont écartés au lieu de compter pour zéro ou pour cent.

Une vérification vide n’annule pas une sanction saisie

Le CEIS et le CNEP sont des registres fédéraux. Une sanction régionale ou internationale saisie à la main ne cesse pas d’exister parce que la vérification fédérale est revenue vide. C’est pourquoi la vérification ne fait passer que « non vérifié » à « non répertorié », et ajoute le résultat au détail au lieu de l’écraser.

Qui surveille le journal laisse aussi une trace

L’audit des accès montre qui a lu quels dossiers du canal, et pour cette raison il est lui-même consigné dans le journal. Un outil de surveillance qui ne se journalise pas est une porte dérobée vers le contenu même qu’il est censé protéger.

La notification n’annonce que ce qui est nouveau

Répéter chaque jour que le même contrôle est en retard apprend aux gens à ignorer la notification, et un utilisateur entraîné à ignorer les alertes est pire que pas d’alerte du tout. L’exécution quotidienne ne notifie que les alertes créées lors de cette exécution, le reste demeurant dans la liste.

La bibliothèque est amorcée par entreprise

Les exigences juridiques prêtent à interprétation, et le service juridique de chaque client ajuste la formulation, la criticité et la fréquence. Pousser une liste globale à tout le monde d’un coup créerait des matrices de centaines de points non évalués chez des entreprises qui n’ont même pas acheté le module.

L’accès se lit, il ne se déclare pas

Une politique de validation écrite ne prouve pas que le système la respecte. La revue des accès lit sur-le-champ les rôles et les droits de chaque utilisateur, et la matrice des incompatibilités vit dans le code, où elle change par un diff relu et non par un formulaire que n’importe qui peut modifier.

Le délai de l’ANPD n’est jamais affiché plus tard qu’il ne l’est

Le compte à rebours compte des jours ouvrés et n’écarte que les jours fériés nationaux à date fixe. Les fériés mobiles, régionaux ou municipaux ne sont pas écartés : la date affichée peut donc tomber un jour plus tôt que la vraie, jamais plus tard. Se tromper dans le sens de l’alerte précoce coûte peu ; se tromper dans l’autre coûte une notification hors délai.

Un traitement proposé n’est pas un traitement enregistré

Le catalogue des traitements s’affiche en entier au premier accès, mais rien n’est enregistré tant que personne n’adopte la ligne. Un registre qui se remplit tout seul a l’air terminé aux yeux de gens qui n’ont jamais vérifié la finalité et la base légale de chaque traitement.

Le lien de campagne n’en révèle pas plus qu’il ne doit

Le jeton du lien personnel n’est conservé que sous forme d’empreinte, meurt quand la personne répond, et une erreur de jeton ne dit jamais si le lien existait. Un lien de campagne fuité dans un fil d’e-mails ne peut pas devenir un moyen de savoir qui figure sur la liste.

Les représailles se suivent dans la confidentialité du dossier

La vérification anti-représailles porte sur le lanceur d’alerte : elle passe donc par le même contrôle d’accès et le même journal de lecture que le dossier. En dehors, l’alerte n’affiche que le numéro de dossier et le jalon en retard.

Les petites statistiques identifient les personnes

Dans un canal comptant peu de dossiers, « un cas de harcèlement aux finances » dit qui c’était. Le rapport affiche « <3 » pour toute case à un ou deux dossiers et ne croise pas la catégorie avec la gravité, ni à l’écran ni en CSV.

Les limites

Là où s’arrête la Conformité et où commence le reste du système

Le module ne conserve jamais de seconde copie. Il lit ce qui existe déjà et restitue ce qu’il a produit par le même chemin que le reste de la plateforme.

Qualité et conformité

Quand la remédiation est déjà traitée dans le système qualité, l’action de l’incident renvoie à cette action au lieu de la dupliquer. La Conformité suit la même ligne, sans tenir une seconde liste qui divergerait dès la première mise à jour.

Gestion des ressources humaines

Le public de l’acceptation des politiques et des formations obligatoires peut être l’ensemble des collaborateurs actifs, lu dans le référentiel du personnel. Le module voit le nom, le matricule et l’intitulé du poste, et rien du salaire ni des coordonnées bancaires.

Fournisseurs et qualification

La diligence se rattache au fournisseur déjà enregistré, et l’alerte sur les fournisseurs actifs sans diligence vient de ce croisement. Sans le module Achats installé, la diligence continue de fonctionner avec le tiers enregistré dans la conformité elle-même.

Juridique et recouvrement

Le contentieux et le conseil restent dans le juridique ; le programme d’intégrité reste ici. Un incident qui devient un procès, et un procès qui révèle la défaillance d’un contrôle, sont reliés des deux côtés sans changer de propriétaire de la fiche.

Santé et sécurité au travail

La Santé et sécurité est l’autre module doté d’un journal de lecture obligatoire, pour la même raison : on ne lit pas de données sensibles sans laisser de trace. Les sites qui y sont enregistrés sont réutilisés ici, pour que les deux modules ne divergent jamais sur leur nombre.

Carte de l’entreprise

La Conformité conserve les preuves d’un dossier ; la carte montre tout ce qui est relié à la fiche qui y est citée. En enquête, suivre les liens évite les six écrans qu’exigerait sinon le recoupement.

Incidents et continuité

La réponse coordonnée aux incidents vit dans la Continuité. Quand l’incident touche des données personnelles, sa salle ouvre ici la fiche de protection des données, où court le délai de l’ANPD, et les alertes graves de la Conformité apparaissent là-bas sur le radar, sans rien du canal d’alerte.

Finances et comptes fournisseurs

La revue des accès lit les comptes fournisseurs pour repérer les paiements à des fournisseurs refusés, sanctionnés ou à diligence expirée. La facture reste dans les finances, et seul le croisement apparaît ici.

Gouvernance

Qui voit quoi, et ce qui s’exécute sans que personne le demande

10 separate permissions

Vérifié à l’écran et aussi dans l’API : masquer un bouton n’est pas un contrôle d’accès. Et l’un d’eux, le canal d’alerte, est vérifié sans le raccourci administrateur.

  • ConsultationTableau de bord, matrice réglementaire, politiques publiées et indicateurs. Ne modifie rien et n’ouvre pas les dossiers du canal d’alerte.
  • Configuration requiseExigences, applicabilité et preuves de conformité.
  • ContrôlesContrôles internes, tests d’efficacité et risques.
  • PolitiquesPublier les politiques et leurs versions et suivre les acceptations.
  • Canal d’alerte éthiqueStrict : ni admin ni admin:all n’ouvre cet écran. Et ceux qui l’ont ne voient que les dossiers où ils sont enquêteurs ou responsables du canal.
  • TiersDiligences raisonnables et déclarations de conflits d’intérêts.
  • IncidentsIncidents, enquêtes et actions correctives.
  • Protection des donnéesRegistre des traitements, analyse d’impact et incidents de sécurité touchant des données personnelles. La consultation donne accès aux écrans ; enregistrer exige ce droit.
  • ComitéRéunions du comité, procès-verbaux, présences et résolutions qui ouvrent des actions.
  • ConfigurationRéférentiels, règles de surveillance, délais et verrous.

Trente-quatre contrôles qui tournent tout seuls, chaque jour

La surveillance continue balaie la base chaque jour à 6 h 30 et consigne ses constats. Un constat qui réapparaît met à jour l’alerte existante ; un constat disparu est clos avec une résolution qui en explique la raison ; et seules les alertes graves nouvelles deviennent des notifications.

  • Contrôle dont le test est en retardUn contrôle actif dont la date du prochain test est déjà dépassée. Un contrôle non testé à temps n’étaye pas l’affirmation qu’il fonctionne.
  • Contrôle inefficace sans actionLe test a révélé une défaillance et aucune remédiation n’a été ouverte. C’est le constat qui pèse le plus en audit.
  • Exigence critique non conformeUne obligation de criticité élevée ou critique marquée comme non conforme.
  • Exigence dont la revue est en retardLa fréquence déclarée est dépassée et personne n’a réévalué le statut.
  • Preuve expiréeLe document qui étayait la conformité n’est plus valide.
  • Politique dont l’acceptation est en attenteUne politique en vigueur dont des personnes de la liste n’ont pas encore accepté la version en cours.
  • Politique dont la revue est en retardL’échéance de revue de la politique est passée sans nouvelle version ni confirmation.
  • Dossier en retardUn dossier du canal d’alerte au-delà du délai de sa catégorie. L’alerte montre le nombre, jamais le contenu.
  • Tiers sans diligence valideDiligence expirée, sans date d’expiration déclarée ou inexistante.
  • Fournisseur sans diligenceUn fournisseur actif qui n’a jamais fait l’objet d’une évaluation d’intégrité.
  • Déclaration sans avisUn conflit ou un cadeau déclaré qui dort, en attente d’une décision.
  • Action corrective en retardUne action dont l’échéance est dépassée et qui reste en attente.
  • Action sans vérification d’efficacitéUne action terminée que personne n’a vérifiée pour savoir si elle a marché.
  • Formation obligatoire en retardUne personne dont une formation exigée par le programme a dépassé son échéance.
  • Risque au-dessus de l’appétence sans contrôleUn risque coté au-dessus de l’appétence de l’entreprise, sans contrôle d’atténuation actif.
  • Conforme sans preuve valideUne exigence déclarée conforme sans preuve en cours de validité. Une conformité sans preuve n’est qu’une affirmation.
  • Exigence critique sans contrôleUne obligation de criticité élevée ou critique sans aucun contrôle interne actif rattaché.
  • Conforme avec un contrôle inefficaceL’exigence dit conforme, et le contrôle qui la soutient a échoué à son dernier test.
  • Contrôle sans responsableUn contrôle actif sans responsable nommé, que personne n’exécute ni ne teste.
  • Incident grave sans actionUn incident de gravité élevée ou critique, encore ouvert, sans action corrective consignée.
  • Tiers sanctionné approuvéLa diligence a consigné une sanction et la décision a tout de même été une approbation sans réserve.
  • Personne politiquement exposée sans diligence renforcéeUn tiers impliquant une personne politiquement exposée évalué au niveau simplifié ou standard.
  • Dossier sans enquêteurUn dossier du canal d’alerte que personne n’a été désigné pour instruire. L’alerte n’affiche que le numéro de dossier.
  • Fonctions incompatiblesUne personne détenant des droits que la matrice de séparation juge incompatibles, par exemple saisir et valider le même paiement.
  • Ancien collaborateur avec accèsUn compte encore actif pour un collaborateur sorti dans le module RH.
  • Accès sensible sans second facteurUn utilisateur doté de droits sensibles qui se connecte avec un simple mot de passe.
  • Accès sensible inutiliséDroit sensible pour une personne qui ne s’est pas connectée depuis plus que la limite, quatre-vingt-dix jours par défaut.
  • Paiement à un tiers sous restrictionUne facture fournisseur sur la période à un fournisseur refusé, sanctionné ou à diligence expirée.
  • Délai ANPDUn incident de données personnelles proche de la fin de ses 3 jours ouvrés sans notification consignée.
  • Traitement sensible sans analyse d’impactUn traitement portant sur des données sensibles ou à risque élevé sans analyse d’impact.
  • Traitement dont la revue est en retardUn traitement du registre dont la date de revue est dépassée.
  • Demande d’une personne concernée en retardUne demande d’une personne concernée au-delà de 15 jours. L’alerte n’affiche que le numéro de dossier et le nombre de jours.
  • Vérification anti-représailles en retardUn jalon à 30, 90 ou 180 jours d’un dossier fondé sans vérification consignée. Confidentiel : seulement le numéro de dossier et le jalon.
  • Campagne au-delà de son échéanceUne campagne d’attestation dont l’échéance est dépassée avec des personnes qui n’ont pas encore répondu.

En pratique

9 everyday situations, from problem to result

01

La matrice verte qui n’a pas survécu à la première question

Le scénario

L’entreprise s’est présentée à l’audit avec une matrice de conformité presque entièrement verte. L’auditeur a demandé les preuves de trois points et la justification de deux points marqués sans objet, et aucun des cinq n’a eu de réponse.

Avec le système

Avec le verrou de preuve activé, déclarer la conformité exige un document joint, et marquer une exigence comme sans objet exige une justification écrite. Tout ce qui n’est pas étayé s’affiche comme en attente sur l’écran lui-même, avant qu’un tiers ne le demande.

Le résultat

La matrice a montré moins de vert et s’est mise à vouloir dire quelque chose. Les points sans preuve sont devenus une file de travail avec responsables et échéances, au lieu d’une surprise en réunion.

02

Le signalement qui mettait en cause l’administrateur

Le scénario

Un dossier du canal d’alerte visait le comportement d’une personne disposant d’un accès total au système. Dans n’importe quel panneau doté d’un raccourci administrateur, cette personne aurait lu tout le signalement avant que l’enquête ne commence.

Avec le système

Le droit d’accès au canal n’accepte pas le raccourci administrateur, le dossier ne s’ouvre que pour les enquêteurs désignés et le responsable du canal, et chaque ouverture est consignée. Le tableau de bord montre que des dossiers existent, sans montrer lesquels.

Le résultat

L’enquête a été menée par le comité qui devait la mener. Le journal de lecture a montré, avec les noms et les heures, qui a accédé au dossier du début à la fin.

03

Le code de conduite révisé en milieu d’année

Le scénario

L’entreprise a révisé son code de conduite en août. Quatre cents personnes avaient accepté la version de janvier, et personne ne savait dire qui relevait de quel texte.

Avec le système

La nouvelle version est entrée en vigueur et la précédente a été marquée comme caduque, ses acceptations intactes. Une demande d’acceptation est partie vers tous les collaborateurs actifs, et les acceptations en attente étaient visibles personne par personne.

Le résultat

Chaque acceptation pointe vers la version exacte, avec date et origine. La question de savoir quel texte telle personne a accepté tient en une ligne de réponse.

04

Le signalement venu de l’extérieur de l’entreprise

Le scénario

Un prestataire travaillant sur une cérémonie a été témoin d’un manquement grave. Il n’a pas de compte, ne veut pas se faire connaître, et le seul canal était une boîte e-mail lue par trois personnes du service administratif.

Avec le système

Le portail public a reçu le signalement sans inscription et a renvoyé un numéro de dossier et un jeton. Le dossier n’était d’abord visible que par le responsable du canal, qui a désigné les enquêteurs, et les questions de l’enquête ont atteint la personne par le dossier lui-même.

Le résultat

L’enquête a été menée par les bonnes personnes, et l’auteur en a suivi l’avancement sans jamais être identifié. Il n’existe aucune trace de son adresse d’origine à recouper plus tard.

05

Le programme lancé en un après-midi

Le scénario

L’entreprise a acheté le module et il est resté vide deux mois. Personne n’avait le temps de rédiger un code de conduite, de lister vingt contrôles et de bâtir la matrice des risques de zéro.

Avec le système

Toute la bibliothèque a été appliquée. Les neuf politiques sont arrivées en brouillon avec la section que le service juridique devait compléter, les contrôles comme jamais testés et échus le jour même, et les risques comme identifiés sans appétence.

Le résultat

Le programme existait désormais par écrit et est devenu une file de travail avec responsables et échéances. Le tableau de bord est resté rouge, ce qui est exactement ce qu’il doit montrer à une entreprise qui n’a pas encore testé un seul contrôle.

06

Le questionnaire d’intégrité du grand client

Le scénario

Avant de renouveler le contrat, un client grand compte a exigé un questionnaire sur le programme d’intégrité de l’entreprise, selon les paramètres du décret 11.129/2022. Les réponses étaient éparpillées sur douze écrans et dans la mémoire de deux personnes.

Avec le système

L’évaluation a montré le score de chaque pilier avec le chiffre qui le soutient : combien de politiques approuvées, combien d’acceptations, combien de contrôles testés à temps, combien de tiers à diligence valide. Les prochaines actions ont désigné les trois critères qui tirent le plus le score vers le bas.

Le résultat

Le questionnaire a été rempli avec des chiffres plutôt qu’avec des adjectifs, et les trois écarts sont devenus un plan d’action avant la réunion de renouvellement.

07

Le fournisseur approuvé que personne n’a revu

Le scénario

Un partenaire événementiel avait été approuvé lors d’une ancienne diligence sans date d’expiration. Trois ans plus tard, il apparaissait comme approuvé dans le tableur et comme un risque dans n’importe quelle recherche publique.

Avec le système

Une diligence sans expiration étant traitée comme expirée, le partenaire a cessé de compter dans la couverture des tiers et s’est mis à apparaître dans l’alerte quotidienne. La nouvelle évaluation a exigé un avis écrit pour la décision.

Le résultat

La couverture d’intégrité de la base reflète désormais qui est réellement évalué aujourd’hui, et la décision concernant le partenaire a été consignée avec son raisonnement.

08

L’audit qui a demandé qui valide quoi

Le scénario

L’auditeur externe a demandé la liste des personnes pouvant saisir et valider des paiements. La réponse de l’entreprise a été la politique de validation en PDF.

Avec le système

La revue des accès a montré quatre personnes détenant les deux côtés de l’incompatibilité, le rôle accordant chaque droit et un ancien salarié des finances dont le compte était resté actif depuis son départ. La liste a été exportée en CSV et est devenue un document de travail.

Le résultat

Deux rôles ont été scindés, le compte a été bloqué le jour même et le contrôle des fonctions incompatibles s’est mis à tourner chaque jour pour que le problème ne revienne pas en silence.

09

La fuite arrivée un vendredi après-midi

Le scénario

Un tableur contenant les CPF de diplômés a été envoyé au mauvais fournisseur un vendredi. L’équipe a décidé d’attendre le lundi pour voir quoi faire.

Avec le système

L’incident a été ouvert dans la Continuité comme touchant des données personnelles, et le bouton de la salle a ouvert la fiche de protection des données avec la prise de connaissance renseignée. Le compte à rebours affichait déjà la fin des 3 jours ouvrés, l’appréciation du risque a suivi les critères de la résolution et la notification est sortie du modèle, champs relus.

Le résultat

La notification à l’ANPD et aux personnes concernées a été consignée dans les délais, et le traitement en cause a reçu une analyse d’impact qu’il n’avait jamais eue.

Glossaire

Le vocabulaire de l’intégrité, expliqué en langage clair

Le panneau d’administration est rédigé en portugais. Si vous cherchez les termes du secteur de la conformité, voici ce que chacun désigne dans le module.

RéférentielRéférentiel de conformité
L’ensemble des obligations que l’entreprise adopte comme socle, qu’il s’agisse d’une loi, d’une norme ou d’une politique de groupe. La matrice se mesure par référentiel.
Matrice réglementaireMatrice de conformité
La liste des exigences applicables avec le statut de chacune. C’est le premier document que réclame un audit.
Contrôle interneContrôle
La procédure que l’entreprise exécute pour satisfaire une obligation. Ici, elle ne compte que si elle a été testée dans la fréquence déclarée.
Test d’efficacitéTest de contrôle
La vérification, par échantillon, que le contrôle fonctionne en pratique et pas seulement sur le papier.
Matrice 5x5Probabilité x impact
La cotation du risque sur cinq niveaux de probabilité et cinq d’impact, dont le produit tombe dans un seuil paramétré par l’entreprise.
Appétence au risqueAppétence au risque
Le niveau de risque que l’entreprise accepte de vivre sans exiger de contrôle supplémentaire. Au-dessus et sans contrôle, le système lève une alerte.
Diligence raisonnableDiligence d’intégrité
L’évaluation du tiers avant et pendant la relation d’affaires, avec avis écrit, décision et date d’expiration.
PPEPersonne politiquement exposée
Une personne qui exerce ou a exercé une fonction publique importante, ou qui est un proche d’une telle personne. Le champ compte trois états, parce que non vérifié n’est pas la même chose que non.
Conflit d’intérêtsDéclaration de conflit
Une relation personnelle ou financière susceptible d’influencer une décision professionnelle, déclarée par le collaborateur et examinée par l’entreprise.
Canal d’alerte éthiqueLancement d’alerte
Le canal de signalement des manquements, avec numéro de dossier, confidentialité cloisonnée et possibilité d’anonymat.
Jeton de suiviClé de dossier externe
Le code de vingt caractères remis à ceux qui signalent par le portail public. Il n’est affiché qu’une fois, conservé uniquement sous forme d’empreinte et non récupérable, car une récupération exigerait de savoir qui est la personne.
Non-représaillesAnti-représailles
L’interdiction de toute mesure de rétorsion contre ceux qui signalent de bonne foi ou coopèrent à une enquête. La représaille est en elle-même une faute grave, et le code de conduite de la bibliothèque le dit en ces termes.
RemédiationPlan d’action
Ce que l’on fait après avoir identifié un manquement, avec responsable, échéance et vérification d’efficacité.
Surveillance continueSurveillance continue
Le balayage automatique qui vérifie le programme chaque jour, au lieu de découvrir la défaillance lors de l’audit annuel.
Décret 11.129/2022Décret d’application de la loi anticorruption brésilienne
Le décret qui met en œuvre la loi 12.846/2013. Son article 57 énumère les paramètres d’évaluation d’un programme d’intégrité, et ce sont eux qui structurent les piliers de l’évaluation.
CEIS et CNEPRegistres fédéraux de sanctions
Le registre des entreprises indignes de confiance et suspendues (CEIS) et le registre national des entreprises sanctionnées (CNEP), tenus par la CGU et consultables sur le Portal da Transparência.
TraçabilitéTraçabilité
Le lien qui va de chaque exigence au contrôle qui la satisfait, au test qui prouve le contrôle et à la preuve qui documente le tout. Là où la chaîne casse, la conformité n’est que déclarée.
Séparation des tâchesSoD
La règle selon laquelle une même personne ne peut pas tenir les deux bouts d’une opération sensible, par exemple saisir et valider un paiement.
Revue des accèsRevue des accès utilisateurs
La vérification périodique de qui a accès à quoi, pour retirer ce qui subsiste de changements de poste, de départs ou d’anciennes exceptions.
Registre des traitementsRegistre des activités de traitement
Le registre des activités de traitement de données personnelles exigé par l’art. 37 de la LGPD, avec finalité, base légale, données, personnes concernées et conservation.
AIPDAnalyse d’impact relative à la protection des données
Le rapport d’impact sur la protection des données, réalisé pour les traitements sensibles ou à risque élevé, avec les risques et les mesures qui les réduisent.
Incident de sécuritéNotification de violation
Un événement qui compromet des données personnelles. En cas de risque significatif pour les personnes concernées, l’ANPD et ces personnes doivent être notifiées sous 3 jours ouvrés.
Campagne d’attestationAttestation
Une demande d’acceptation, de déclaration ou d’accusé de suivi envoyée à tout un public d’un coup, avec un lien personnel et un suivi de participation.

Poursuivre la visite

Les modules qui travaillent avec celui-ci

Qualité et conformité

Non-conformités, actions correctives, audits internes et documents maîtrisés. C’est de là que vient l’action qu’un incident peut citer.

Voir la page

Développement durable et ESG

Le G de l’ESG touche à ce module, tandis que le E et le S vivent dans le bilan des émissions, les déchets, les objectifs et l’impact social.

Voir la page

Carte de l’entreprise

Les liens entre promotion, contrat, échéance, événement et galerie, explorables d’un clic depuis n’importe quelle fiche.

Voir la page

Un programme d’intégrité qui reste debout quand quelqu’un de l’extérieur pose la question

Nous pouvons ouvrir le module avec vos référentiels, appliquer la bibliothèque de modèles devant vous, montrer la matrice réglementaire, les contrôles, le canal d’alerte et le portail public en action, puis discuter du déploiement adapté à votre situation.

Parler à un spécialisteVoir les tarifs