Masterclass Compliance II

A partir des définitions concernant les données personnelles, Morgane Rivier de la Fédération de l’industrie horlogère suisse a énoncé les principes clés s’appliquant à leur traitement et les obligations pour les entreprises qui en découlent. La première obligation concerne la journalisation des traitements, à savoir le fait de répertorier tous types de traitement effectués en interne, et l’obligation d’informer ou de transparence vis-à-vis des personnes concernées par la collecte de données. Pour ce qui est de leur consentement, le système de l’opt-out (sans opposition, c’est oui) prime sauf en cas de profilage à risque élevé ou de traitement de données sensibles. De leur côté, les personnes concernées ont droit à la transparence sur leurs propres données et bénéficient d’un droit d’accès, de rectification, d’effacement (droit à l’oubli) et de portabilité (obtenir ses données dans un format standard).

Autre obligation pour les entreprises : la sécurité des données selon une approche basée sur le risque. Ce qui implique des mesures techniques (pare-feu, antivirus…) mais aussi organisationnelles (gestion des mots de passe, violation de sécurité…). Dans ce contexte, la gestion de données personnelles confiée à des tiers est également une question délicate, uniquement autorisée si le responsable de traitement serait en droit d’effectuer ce traitement lui-même. L’utilisation de services de clouds à l'étranger pose notamment problème, nécessitant de vérifier le niveau de protection des données mise en place. En attendant un accord Suisse-Etat-Unis sur le modèle de celui conclu avec l’UE, tous les transferts ayant un lien direct ou indirect avec les Etats-Unis « seraient » pour l’instant illicites !

La sécurité de la chaîne d’approvisionnement est couverte par un ensemble de normes (ISO 28000 / ISO 27701. Parmi elles, la norme ISO 27001 mise en place par les entreprises concerne leur Système de Management de la Sécurité de l’Information (SMSI) et notamment la chaîne d’approvisionnement exposée aux pirates informatiques. Deux exemples soulignent les risques liés au hacking de sociétés tierces utilisées pour pénétrer à l’intérieur des systèmes informatiques de leurs clients : Xplain, société piratée en juin 2023 ayant permis de voler les données sensibles des polices cantonales et fédérale et Solarwinds, dont le mise à jour logicielle chez ses clients (Microsoft, Intel, Ciso, Pentagone…) a ouvert la voie au piratages de leurs données en 2020. 

Quels risques pour le luxe ? L’externalisation de services comme les système ERP, les processus d’automatisation, de communication ou de stockage est devenue une question des plus délicates sans une gestion des risques identique aux validations internes de l’entreprise. Ce type de pratique demande donc une sécurisation tout au long de la chaîne d’approvisionnement en amont et en aval. Il s’agit d’abord et avant tout d’identifier les faiblesses non seulement de sa propre entreprise mais également de ses fournisseurs et clients afin de mettre en place un processus de suivi et d’amélioration efficace et surtout adapté à la taille de l’entreprise concernée afin d’éviter toute lourdeur administrative. Une piste à suivre : faire valider les maillons de la chaîne d’approvisionnement par une association qui pourrait gérer une partie des risques ?

Comme le rappelait Céline Cheval, fondatrice de Buyer Beware, le secteur du luxe se caractérise par un encadrement et des systèmes d’autorégulation relativement denses. Ceux-ci ont comme objectif la transparence sur les conditions de production et la traçabilité du produit et de ses composant, notamment au niveau des matières premières et de leur traitement (métaux et pierres précieuses, nacre, cuire, sertissage, décoration…). Malgré tout, plusieurs rapports d’ONG ont mis en lumière certaines faiblesses de la chaîne d’approvisionnement dont l’opacité ne correspond pas nécessairement au discours institutionnel. Dans ce contexte, le rôle des responsables d’achats dans le secteur horloger est aujourd’hui d’aller au-delà de l’envoi de documents contractuels de compliance, une méthode à courte vue inadaptée et inefficace qui s’apparente à de « l’hypocrise commerciale ».

Dans le cadre de toute politique d’achats, il s’agit donc d’identifier les risques environnementaux, sociaux et économiques pour en comprendre les impacts afin d’adopter les bons outils. Et ceux-ci incluent des codes éthiques ou codes de conduite permettant d’imposer un cadre aux salariés et sous-traitants. Une politique d’achat responsable passe ainsi par un engagement de la part des fournisseurs sur un modèle de performance économique, environnementale et sociale ayant comme base de travail un référentiel de mesures, dans le cadre d’un bilan de gaz à effet de serre par exemple. A noter, enfin, qu’en novembre 2022, le Conseil fédéral a adopté l’ordonnance d’exécution relative au rapport des grandes entreprises (500 emplois – 40 millions de chiffre d’affaires) sur les questions climatiques.

Le mot de la fin est revenu à la table ronde, animée par Michel Mooser auditeur senior de la Société Générale de Surveillance et Charles Chaussepied, consultant expert, ancien directeur Corporate Social Responsabilité du groupe Richemont et membre pendant dix ans du comité exécutif du Responsible Jewellery Council. Premier constat : le monde se complexifie avec de plus en plus règlements et contraintes à intégrer dans les processus des entreprises. Conséquence : les audits se multiplient sur la cybersécurité, le bilan carbone, la traçabilité de la chaîne d’approvisionnement… Et les normes à respecter connaissent le même développement exponentiel, des normes qui, parfois, se contredisent. Sans parler des exigences formulées par les grandes entreprises qui peuvent varier de l’une à l’autre auprès des mêmes sous-traitants.

N'en demande-t-on finalement pas trop aux entreprises avec trop de donneurs d’ordre, trop d’audits sur trop de sujets ? Une évolution qui a notamment donné naissance à un business de la certification à la croissance exponentielle.

Finalement, tout est question d’adaptation, aux ressources de l’entreprise, à ses besoins en fonction des risques encourus et à ses objectifs de développement durable. Une situation qui demande aide et support des sociétés donneuses d’ordre vis-à-vis de leurs fournisseurs, en sachant que le but de toute norme est d’apporter l’allocation des ressources à ceux qui en ont besoin.