Maturité ISO 37001 · Systèmes de management anti-corruption

ISO 37001 est une norme de système de management certifiable, publiée en 2016, consacrée à la prévention, à la détection et au traitement de la corruption. Elle couvre la corruption active et passive, directe et indirecte, y compris celle commise par des partenaires commerciaux pour le compte de l’organisation. Elle impose un socle précis : politique anti-corruption approuvée par l’organe de gouvernance, fonction de conformité anticorruption dotée d’autorité et d’indépendance, appréciation des risques de corruption documentée, diligence raisonnable proportionnée sur les tiers, contrôles financiers et non financiers, formation, procédure de signalement et d’enquête, revue de direction.

En pratique, le dispositif est difficile à piloter parce que ses composantes vivent dans des directions différentes. La cartographie des risques de corruption appartient à la conformité, les contrôles aux finances, la diligence raisonnable aux achats, la formation aux ressources humaines. Trois questions reviennent systématiquement. La cartographie est-elle réellement utilisée pour calibrer les contrôles, ou reste-t-elle un document annuel ? La diligence raisonnable sur les tiers est-elle proportionnée au risque, ou appliquée de manière uniforme faute de critères ? Les signalements font-ils l’objet d’un traitement tracé, avec une décision et un retour, ou s’arrêtent-ils à la boîte de réception ?

En France, ISO 37001 croise la loi Sapin II, dont l’article 17 énumère huit piliers, et les recommandations de l’Agence française anticorruption. Les deux cadres se recouvrent largement mais ne se superposent pas : Sapin II est opposable et contrôlée par l’AFA, ISO 37001 est volontaire et certifiable par un organisme accrédité. Une confusion fréquente consiste à croire que la certification ISO 37001 vaut présomption de conformité à Sapin II. Elle ne la vaut pas. Elle constitue un élément d’organisation et de preuve, utile mais distinct.

Le diagnostic de maturité répond à une question différente de celle de l’audit de certification. L’audit vérifie la présence et l’efficacité des exigences, puis conclut par une conformité ou un écart. Le diagnostic situe chaque pratique sur une échelle progressive et indique l’action précise qui fait passer au niveau supérieur. Il se conduit en amont, sans enjeu de verdict, et produit une trajectoire plutôt qu’un constat. Dans Datamensio, l’écart entre le score et la cible génère directement le plan d’action, que l’IA regroupe en feuille de route priorisée.

Le référentiel est prêt à l’emploi et adaptable. Vous modifiez les thématiques, les questions et les niveaux, ou vous demandez à l’IA d’en construire une déclinaison à partir de votre code de conduite, de votre cartographie des risques et de vos procédures existantes. Les entités d’un même groupe peuvent être évaluées sur la même grille, puis comparées entre elles et dans le temps.