Distinguer les responsabilités
Une même situation peut produire une sanction administrative, une conséquence fiscale, une responsabilité civile et une procédure pénale. L’entreprise doit distinguer le manquement, la personne concernée, le pouvoir de l’autorité et les voies de contestation. Une clause de sous-traitance ne transfère pas mécaniquement toutes les obligations légales au fournisseur.
L’Autorité de protection dispose notamment de mesures d’avertissement, de mise en demeure, d’interruption ou d’interdiction de traitement, de retrait d’autorisation et de sanctions pécuniaires, dans les conditions du cadre applicable. Les montants et règles de réitération doivent être appréciés selon le texte et la situation. []
Le document institutionnel ARTCI cité en R38 rappelle un plafond de sanction pécuniaire de 10 millions de francs CFA. Pour un manquement réitéré dans les cinq ans suivant une sanction devenue définitive, il mentionne 100 millions de francs CFA ou, pour une entreprise, 5 % du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de 500 millions. La gravité, les avantages tirés du manquement et les conditions procédurales doivent être pris en compte. Ce plafond ne constitue pas une amende automatique pour chaque irrégularité. []
Les risques ne sont pas seulement financiers. Une suspension de service, un retrait de titre, une perte de preuve ou une impossibilité de restaurer les données peut compromettre la continuité. Le registre des risques doit donc associer conformité et fonctionnement de l’entreprise.
Préparer un contrôle
Recommandation : désigner un coordinateur, identifier le fondement et le périmètre de la demande, préserver les documents et organiser une réponse cohérente. Les pièces doivent être datées et décrites ; les explications doivent distinguer le fonctionnement passé, la situation actuelle et les corrections engagées.
Ne jamais reconstituer de preuves fictives ou antidatées. Une lacune doit être constatée, expliquée et corrigée avec une date réelle. La coopération et les droits procéduraux doivent être exercés ensemble. Les délais de réponse et de recours figurant dans les actes reçus doivent être suivis immédiatement par la fonction compétente.
Gouvernance et indicateurs
Recommandation : réunir périodiquement les responsables métiers, informatique, juridique, finance et RH. Le suivi doit porter sur des éléments concrets : formalités en attente, titres à renouveler, demandes de personnes, incidents, correctifs d’audit, factures irrégulières et contrats sans clauses essentielles.
Les indicateurs doivent mesurer une action. Le nombre de politiques rédigées ne démontre pas que les accès sont retirés lors des départs. Un taux de corrections clôturées doit être fondé sur des vérifications. Les risques acceptés et les exceptions doivent avoir une échéance de réexamen.
Veille et mise à jour
Recommandation : attribuer une fréquence de consultation aux sources officielles, avec priorité aux lois de finances, communiqués DGI, décisions ARTCI, référentiels ANSSI et textes BCEAO. Enregistrer la date, le changement et son effet sur l’entreprise. Toute évolution importante doit être traduite en tâche, responsable et preuve attendue.
Le dispositif de conformité de l’entreprise doit être revu après une réforme, un changement d’activité, une acquisition ou un incident majeur. Le périmètre des activités et les versions des textes sont aussi importants que la date du document.