« La véritable clé de la lutte contre l’extraterritorialité des lois, notamment américaines, se trouve en Europe. Elle pourrait mieux se protéger par une politique monétaire qui la rende moins dépendante du dollar, et par une autonomie régulatoire plus confiante dans son poids financier énorme. À condition que les différents pays de l’U.E s’unissent pour créer un espace non seulement économique mais également politique. C’est de la synergie entre ces deux dimensions que l’extraterritorialité sera définitivement bloquée. »
Même si l’Europe finissait par avoir l’influence de son poids économique, reste la question essentielle: peut-on, et comment, faire changer les lois, comme le FCPA, ou décisions politiques, comme les sanctions contre l’Iran, à un pays comme les Etats Unis?
« Le génie de l’extraterritorialité américaine réside dans le fait que, dès 1993, le secrétaire d’Etat américain de l’époque, ainsi que le secrétaire du Trésor, ont fait de l’extraterritorialité non seulement une arme morale, mais aussi une arme économique au service des intérêts américains. C’est pour cette raison, à mon sens, que les autorités européennes ne se sont saisies du sujet qu’il y a peu de temps. Et comme le dit Frédéric Pierucci : on n’a pas vu le « piège américain ». »
Un piège est quelque chose que l’on ne voit pas ou que l’on ne peut pas imaginer comme existant. Les lois et sanction américains sont anciennes, 1977 pour le FCPA, 1979 pour les sanctions. Partant de là une analyse des décisions, de justice ou économiques, aurait du faire apparaître une continuité dans l’actions des Présidents américains successifs, quelques soient leurs bords, les 2 mandats de Barack Obama ayant été denses pour le FCPA avec années à plus de 30 décisions.
Le vrai piège est bien visible: autant on peut considérer les sanctions vis-à-vis d’un pays comme subjectives, autant il est quasi impossible de dire que l’on pour la corruption ou la fraude, même si l’on peut démontrer que les cas sont dans l’intérêt des entreprises américaines en coordination avec la justice américaine. Il n’y a pas de piège mais un manque de volonté de la part de l’Europe, et de la France, jusqu’à très récemment de créer ses propres normes en la matière et de les imposer.
Lors d’une conférence en Octobre, un représentant de l’Agence Française Anticorruption a donné un chiffre des plus intéressant: parmi les entreprises privées contrôlées, un peu moins de la moitié étaient des filiales de sociétés étrangères. C’est en luttant contre les pratiques corruptrices et frauduleuses, en formant les personnels exposées et en cartographiant les risques, que l’on protège les entreprises, pas en critiquant une loi étrangère.
Filed under: Compliance, Corruption, Economic Warfare | Tagged: Corruption, Economic Warfare, USA | Commentaires fermés sur Un piège bien visible, connu et documenté: comment ne pas en avoir tenu compte? #Radio: « Le droit comme arme de guerre (5/5) – Organiser une protection européenne »
On apprend par un article de Capital, « Affaire Areva: la monstrueuse amende qui menace la France« , que « la justice a discrètement prévenu début juillet les autorités françaises qu’elle pourrait lancer un procès pour corruption contre l’ex-fleuron tricolore de l’atome. »
Je vois d’ici les titres du genre « Nouvel épisode de la Guerre Économique des États-Unis contre la France » où l’on sous entendrait que les Américains sont prêts à tout pour racheter nos fleurons technologiques. Imaginez, après les turbines d’Alstom les réacteurs d’Areva!
Sauf que l’on se retrouve avec exactement le même schéma que pour Alstom: pour obtenir un contrat, une entreprise française a corrompu des décideurs politiques … Ah mais c’est illégal alors? Oui! Et cette fois les faits n’ont pas eu lieu en Indonésie mais aux États-Unis!
On aura beau dire que les États-Unis font pareil, les faits sont condamnables à deux titres: les faits en eux mêmes (sur-payer un achat d’entreprise/marchandise pour dégager une marge reversée à un décideur) et l’absence de contrôle des agissements du dirigeant impliqué.
Areva aurait racheté en 2010 une startup américaine, Ausra, spécialisée dans l’énergie solaire avec parmi ses actionnaires Al Gore l’ancien vice-président de Bill Clinton Al Gore. Ce rachat aurait été motivé par un projet de retraitement des déchets financé par l’État Fédéral (administration Obama).
Bien entendu, il faudra attendre la confirmation d’une condamnation après une éventuelle enquête pour pouvoir affirmer que les faits présentés par l’article de Capital, s’appuyant sur le travail d’un enquêteur privé (pour qui travaille-t-il?), sont bien de la corruption.
Mais si le faits étaient avérés, cela voudrait dire que les différents organes de contrôles de l’État ont laissé agir Mme Lauvergeon, ont laissé une entreprise publique corrompre une administration fédérale. C’est un échec légal, moral et stratégique.
Il est évident que les Etats-Unis utilisent leurs lois, qu’ils ont parfaitement le droit de voter et d’appliquer en tant qu’état souverain, à des fins économiques et stratégiques. Le vrai problème étant que ni la France ni l’Europe n’utilisent les mêmes moyens.
L’Europe qui n’est pas sortie de l’accord nucléaire avec l’Iran n’a presque aucun moyen de continuer de commercer avec avec l’Iran sans encourir pour ses entreprises ou ses états membres des sanctions qui pour être unilatérales n’en sont pas moins légales.
La loi, dite Sapin II, n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique n’est entrée en vigueur qu’en 2017. Mais le délai de prescriptions des faits de corruption ne court qu’à partir de la découverte de ceux-ci.
Même en tenant compte de cela, la corruption d’agents publics étrangers était bien illégale en 2010. Les agissements d’au moins 1 personne, la PDG en l’occurrence, pourraient avoir des effets économiques et financiers considérables sur le secteur nucléaire français.
Le schéma est le même dans les cas Areva, Alstom et Airbus: le dirigeant ultime est personnellement impliqué mais peut dans certains cas échapper à toute sanction, soit parce qu’il passe un accord avec la justice américaine soit parce la justice française ne semble pas empressée de le poursuivre!
Dans les déclarations publiques à ce sujet, on accuse toujours les États-Unis de duplicité et d’appliquer leurs lois de façon extraterritoriale: pratiquement pour trouver une banque qui n’est pas exposée au dollar ou une entreprise international absente du marché américain c’est compliqué.
Au delà de la question du droit se pose la question du renseignement en la matière: s’il est de notoriété publique que la Chine, la Russie, le Brésil, etc. ou même des états européens sont corrompus et corrupteurs, on peut douter que les administrations spécialisées n’aient pas des preuves à leur encontre et celle de leurs sociétés.
Pourquoi ne pas les poursuivre dans ce cas? Parce que, comme pour les États-Unis, on passe de la dimension strictement légale à la dimension géopolitique et diplomatique. La loi Sapin II prévoit la possibilité de contrôler des sociétés étrangères en France. Quand l’Agence Française Anticorruption le fera?
Quels qu’en soient les objectifs, corrompre est illégal, même pour contrer « un concurrent qui fait pareil ». Cela fait prendre un risque pour la réputation et la survie des entreprises et donc de leurs employés, mais aussi aux investisseurs qui doivent prendre leurs responsabilités.
Ceci dit, plutôt que toujours faire porter le chapeau aux entreprises, il faudrait rappeler que ce sont le plus souvent les politiques et les fonctionnaires d’un pays qui sollicitent une entreprise pour l' »aider » à remporter un contrat.
Donc aux états de prendre leurs responsabilités, à commencer en Europe, pour éviter ce fléau à grande échelle qui a en plus des répercussions sociales des liens directs avec la criminalité organisée et le financement du terrorisme.
En attendant ne tentons pas de camoufler nos propres fautes, répétées et connues, en accusant les autres de défendre leurs intérêts et d’appliquer leurs lois.
« US sanctions rain on India-Russia defence parade » – The Economic Times
L’Europe
Les sanctions américains, que ce soient celles appliquées par le biais du Foreign Corrupt Practices Act (FCPA), visant les faits de corruption, ou celles mises en oeuvres par l’Office of Foreign Assets Control (OFAC) ne visent pas que l’Europe et ne représentent qu’une partie de l’éventail juridique américain.
Comme le souligne très justement un récent rapport de l’@IFRI_, « Comply or Die: les entreprises face à l’exigence de conformité venue des Etats-Unis« , le FCPA vise avant tout des entreprises américaines: « Sur un total de 488 actions lancées depuis la mise en oeuvre du FCPA, 340 mettent en cause des entreprises ou individus américains. Les 148 autres visent des des étrangers, parmi lesquels seulement 13 sont français ».
Si l’on se réfère à la base de données publiée par la Stanford Law School, Foreign Corrupt Practices Act Clearinghouse, sur 247 cas recensés à fin 2017 (4 nouveaux cas depuis début 2018), 176 concernent des entreprises ou personnes en Amérique du Nord, 45 en Europe, 15 en Asie, 5 en Amérique du Sud, 3 au Moyen Orient et 2 en Afrique. Sur les 45 en Europe, seules 3 concernent la France: Alstom, Total, Alcatel.
Effectivement Alstom et Total apparaissent dans le Top 10 du montant des sanctions, sachant que celui-ci augmente régulièrement depuis ces dernières années. Toutefois il faut rappeler que le montant de l’amende est en rapport direct avec le montant estimé du chiffre d’affaires découlant de la corruption. Il est bon de le rappeler à l’heure de la Loi Sapin II et des audits de l’Agence Française Anti-Corruption.
Dit de façon triviale on paye beaucoup quand on a beaucoup corrompu.
Et l’Inde?
Les relations entre l’Inde et l’URSS puis la Russie sont anciennes. Fin 2015, la visite de Vladimir Poutine avait notamment permis d’appréhender l’ampleur de la relation particulière qui unit l’Inde et la Russie depuis 1955 et l’ère soviétique. Le Président Russe et le Premier Ministre Indien auraient ainsi conclu pas moins de 20 accords pour un montant total de 100 milliards de dollars, à l’occasion du 15ème sommet bilatéral annuel entre les deux pays.
C’est ce lien, l’Inde ayant toujours cherché à concilier ses multiples relations bilatérales avec des pays souvent opposés/adversaires, que les Etats-Unis viennent de cible en inscrivant la société d’exportation d’armement russe Rosoboronexport sur la liste de l’OFAC. La quasi totalité des exportations d’armes vers l’Inde passant par Rosoboronexport, la State Bank of India a bloqué tous les paiements à la Russie depuis le 7 Avril.
Cela représente un montant de 2 milliards de dollars gelés sur des programmes allant du sous-marin aux missiles et navires de surface. La Russie, malgré les efforts de la France et des Etats-Unis pour prendre sa place, reste le premier fournisseur d’armes de l’Inde avec 63% des importations d’après le SIPRI. L’impact de cette décision est d’autant plus grand que les deux pays négociaient la vente du système anti-aérien S-400.
Dans l’immédiat c’est les réparations du sous marin nucléaire INS Chakra, l’ex Akula K-152 Nerpa, qui sont à l’arrêt. Pour le S-400 le gouvernement indien a demandé une exemption au Countering America’s Adversaries Through Sanctions Act (CAATSA). Ce contrat d’un montant estimé à 5.5 milliards de dollars est important pour l’Inde afin de renforcer sa défense anti-aérienne face à la Chine, et le Pakistan.
Dans le même temps les Etats-Unis proposent régulièrement à l’Inde de devenir partenaires stratégiques, que ce soit pour la fourniture d’armements et de réacteurs nucléaires (comme la Russie). Il s’agit aussi d’adresser la problématique de l’Océan Indien où l’Inde et les Etats-Unis, et la France, sont confrontés à l’expansion chinoise.
Un comité du Congrès Américain, le House Armed Services Committee, a même proposé de renommer le Pacific Command de l’US Navy en Indo-Pacific Command dans le cadre du vote du budget de la défense, National Defence Authorisation Act. L’Inde va devoir choisir alors qu’elle a toujours préféré des relations franches avec des pays comme l’Iran ou même la Chine, son premier partenaire commercial.
****
S’il est possible de protéger ses entreprises d’actions judiciaires, présentées par certains comme ciblées et prédatrices, par la mise en place de conformité, il s’agit en effet de lutter contre des crimes et délits, il en va différemment en cas de choix entre partenaires stratégiques. Si la Russie et l’Inde ont des relations anciennes, l’Inde a une balance commerciale négative (correspondant au montant des contrats cités) avec la Russie.
Il en va de même avec la Chine, qui n’importe que pour 8.9 milliards de dollars depuis l’Inde quand elle y exporte 60.5 milliards. Au contraire l’Inde exporte pour 42 milliards de dollars vers les Etats-Unis, en importe pour 20 milliards, ce qui fait une balance commerciale très positive. La France pourrait aussi s’appuyer sur sa balance commerciale avec l’Inde (1.7 milliard) pour développer ses relations stratégiques, dans l’Océan commun.
En conclusion, s’il est clair que les Etats-Unis utilisent leurs lois comme outils concurrentiels et stratégiques, il ne s’agit pas tant de les critiquer pour cela mais plutôt de se demander pourquoi nous ne faisons pas pareil en France. A ce titre il apparaît que la loi Sapin II n’a pas de portée « extra-territoriale » alors même que des cas de corruption active par les pays cités ici sont connus et documentés.
Quand une entreprise commet des erreurs de gouvernance interne, qu’elle est poursuivie par une juridiction étrangère pour cela et qu’elle doit en « paiement » céder des activités ou des brevets, s’agit-il d’une « attaque » ou d’une faille du système de management ?
De même, pour Benjamin Gilad, « surveiller ses concurrents sans perspective » conduit à des échecs. Si l’analyse des concurrents se limite à reporter ces erreurs sur eux, il s’agit là d’un biais particulièrement handicapant dans l’avenir. Et considérer que nos adversaires ne peuvent, voire ne doivent, pas tirer parti des failles et faiblesses qui leurs sont offertes, est une erreur fondamentale de stratégie sans parler d’une certaine naïveté.
À l’heure du débat sur la moralisation de la vie publique, polémique car lui-même entaché d’affaires, et d’une explosion des normes et lois en la matière, les entreprises n’ont plus le choix que d’anticiper le risque légal lié à la corruption ou aux organisations criminelles, ou les attaques financières ou réputationnelles.
À ce sujet le cas Alstom a fait couler beaucoup d’encre mais il est en soi révélateur de certains dysfonctionnements internes graves et répétés dans la gouvernance d’une entreprise. À vouloir accuser les États-Unis de manier renseignement et justice à leurs bénéfices, ne chercherait-on pas à justifier le contournement des règles et donc la corruption ?
Le cas Alstom
Depuis 2007, Alstom se trouve ainsi englué dans plusieurs affaires de corruption au Mexique, en Italie, en Suisse, en Zambie, en Slovénie, au Brésil, aux États-Unis et au Royaume-Uni. Elles sont repérées par la NSA et la CIA et, en juillet 2013, le Department of Justice lance des poursuites judiciaires contre l’entreprise française pour un pot-de-vin de 300 000 dollars versé en 2004, par la filiale PT Alstom Indonesia, à un politicien local.
Alstom refuse de reconnaître les faits et n’accepte pas le « plaider coupable » suggéré par l’administration américaine. Celle-ci élargit alors ses investigations à plusieurs autres contrats internationaux. Le 15 avril 2013, elle fait arrêter Frédéric Pierucci, vice-président de la division chaudières, à l’aéroport JFK de New York.
En même temps l’entreprise française est condamnée à une amende de 772 millions d’euros – la plus forte jamais infligée par l’administration américaine pour fait de corruption en dehors des États-Unis – amende qui n’a pas été provisionnée dans ses comptes.
Dans cette situation l’entreprise a « dû » vendre sa branche énergie. Mais ses dirigeants, et actionnaires, pouvaient-ils ignorer les risques alors que plusieurs affaires émergeaient et que l’entreprise avait déjà été mise en cause en Suisse pour corruption en entre 2008 et 2011, par exemple ?
Qui est corrompu ? Qui est le corrupteur ?
L’entreprise avait adopté un code éthique, créé une direction éthique et conformité, obtenu une certification. Mais malgré cela,
« plongée dans le quotidien de la compétition au couteau de la mondialisation… elle a poursuivi ses pratiques de conquête de marchés de façon très sophistiquée mais sans prendre de précaution ».
Donc malgré des pratiques illégales connues, l’entreprise s’est laissée attaquer par la concurrence. Cette justification a posteriori est spécieuse d’autant que cela permet d’occulter le fait que l’on pourrait également enquêter légitimement sur cette concurrence aux pratiques identiques.
La recherche sur le sujet existe et les entreprises américaines ne sont pas les dernières à corrompre (JP Morgan, HP, Wall-Mart).
Cependant, il est également bien pratique d’accuser les entreprises d’être à l’origine des affaires de corruption.
Prenons un exemple fictif mais réaliste : dans le cadre de la modernisation de l’aéroport de sa capitale, le premier ministre d’un pays d’Europe de l’Est, nouvellement entré dans l’union, mets en place un système corruptif faisant appel à d’anciens de ses services, reconvertis dans tous les trafics, et à un de ses députés européens, membre d’un parti nationaliste.
Une entreprise face à ce système n’a d’autre choix que de se retirer de l’appel d’offres car les risques sont trop importants du point de vue légal et financier.
Mais sans une organisation interne vigilante sur l’éthique et la connaissance de la réalité des pays en développement ou même européens, l’entreprise pourrait être contrainte de respecter les « conditions » imposées : ici le corrompu est le pouvoir légal du pays, comme ce fut le cas en Indonésie. On pourrait citer d’autres pays où la situation est identique, comme l’Inde, le Brésil, l’Afrique du Sud mais aussi le Canada et même la Suède !
L’anticorruption, moyen de défense économique
L’application stricte des lois, standards et codes dans le domaine de la lutte anticorruption devient donc un moyen de « défense économique » mais aussi un outil concurrentiel face à des pays/entreprises ne les appliquant pas toujours à la lettre : les entreprises n’appliquant pas la norme 37001 sur les systèmes de management anticorruption ne devraient plus être autorisées à des appels d’offres ou obtenir des financements internationaux.
Un reproche souvent fait aux États-Unis est l’utilisation extraterritoriale de leur droit pour contrer des pays dans le développement de leurs relations avec l’Iran par exemple. Un Vice-Ministre des Affaires étrangères iranien a témoigné devant des industriels que les États-Unis avaient rédigé un vade-mecum pour les entreprises américaines permettant de contourner leurs propres sanctions légalement.
L’existence de ce vade-mecum était connue du Ministère de l’Économie, ainsi que des services de l’État, mais n’a jamais était dénoncée par le Ministère des Affaires étrangères. Au-delà de leur posture « anti-Iran » les États-Unis développaient, avant même la signature de l’accord sur le nucléaire, leurs affaires, quitte à passer par des « faux nez ». Est-ce de la duplicité ou de « l’intelligence stratégique » ?
Le volet anticorruption de la Loi Sapin II pourrait s’appliquer non seulement aux entreprises françaises mais aussi aux filiales d’entreprises étrangères. Le Department of Justice américain a bien poursuivi la filiale de la BNP à New York par exemple. Celle-ci savait parfaitement qu’elle enfreignait la loi interdisant les transactions en dollars avec l’Iran et a pourtant continué, cas aboutissant à une amende record.
Le droit et la guerre économique
Dans ces cas, peut-on objectivement contester l’application du droit au prétexte d’une « guerre économique » où nous ne prenons pas les précautions sécuritaires et éthiques élémentaires pour éviter une « attaque » fût-elle étatique dans un objectif économique. Si le que concept de guerre économique est parlant, car faisant appel à un champ lexical s’appuyant sur une mémoire collective encore marquée par les conflits mondiaux, la Guerre froide, ou les opérations extérieures, on peut considérer qu’il s’agit d’un abus de langage, comme le souligne Fanny Coulomb.
Au-delà de la question des termes, les objectifs, moyens et acteurs des relations économiques, même s’il s’agit de prise de contrôle « hostiles » (à nouveau un terme marquant) ou de captation de technologies par l’espionnage, n’impliquent pas de destructions à grandes échelles, d’attaques contre des populations civiles.
Cependant l’impact stratégique des « opérations de guerre économique » est effectif avec la remise en cause du modèle social. Les pays doivent s’adapter aux évolutions des flux économiques, avec la mise en place de stratégies pour spécialiser un pays sur certains produits, d’au contraire diversifier les activités ou encore privilégier l’innovation technologique comme moteur de croissance.
L’expression « guerre économique » est présente chez les auteurs dits mercantilistes ou marxistes dès le XVIe siècle, face aux libéraux dont la théorie défend la thèse selon laquelle le « laisser-faire » et l’accroissement du « commerce des nations » vont dans le sens d’une pacification des relations entre pays. La conception mercantiliste elle considère que pour accroître ses débouchés il faut les prendre aux autres pays et concurrents.
La guerre économique est donc une opposition de pensées économiques qui pourrait s’appeler alors « conflictualités des économies ». À l’inverse, on pourrait considérer que la balance commerciale déficitaire de la France, les pertes de parts de marché ou une organisation productive concentrée autour de quelques grands groupes (contrairement à l’Allemagne ou l’Italie), sont la conséquence de la guerre économique menée à notre encontre par les pays concurrents.
Mais ne s’agit-il pas plutôt d’un déficit d’analyse à l’échelle des entreprises ou de l’état des marchés exports et des stratégies de ces concurrents ? Il s’agit aussi d’un déficit de formation sur les métiers du renseignement, donc d’organisation et culture de l’enseignement. Mais il faut surtout cesser de considérer l’espionnage économique ou la corruption politique comme des raccourcis facilitant les « affaires ».
Aujourd’hui nous subissons, que ce soit dans le domaine économique/privé ou politique/public une quantité telle d’attaques qu’il est difficile de faire autrement que réagir. Les enjeux financiers ou électoraux, quand il ne s’agit pas des opérations extérieures, font que les autorités mobilisent des moyens de plus en plus importants, même s’il est parfois difficile d’attribuer la cyberattaque à telle ou telle partie.
S’agit-il seulement de réagir, de se prémunir ou d’anticiper les attaques dans le domaine cyber, dans une dimension parfois perçue comme virtuelle, mais dont l’impact est concret dans les domaines économiques, militaires et diplomatiques ?
Les données personnelles, comme les codes d’accès bancaires, sont volées et revendues. Les données essentielles des entreprises, ou des hôpitaux, sont prises en otage puis libérées contre rançons payées en bitcoins. Les campagnes électorales sont influencées par la révélation d’informations compromettantes, sur un plan personnel ou financier.
La diffusion sans limite des localisations et matériels d’unités militaires en opération est facilitée par l’omniprésence et l’hyperréactivité des réseaux sociaux. Tout se passe, semble-t-il dans la dimension cyber, sans que les modes d’action soient réellement nouveaux, puisque les attaques de réseaux ou la désinformation sont des moyens anciens.
S’agit-il d’attaques hautement techniques ou de simples négligences humaines ? Selon les exemples cités : les emails des adhérents/soutiens d’un candidat français sont directement accessibles car le site Internet de sa campagne est mal sécurisé ; l’utilisation trop fréquente des mêmes mots de passe basés sur nos vies personnelles est une faille ; les méthodes de « social engineering » qui permettent d’initier un virement au profit du hacker sont méconnues ; la publication non sécurisée de données personnelles sur Facebook représente un risque de vol d’identité ou de « social engineering » ; un encore la cadeau/achat de clés USB piégées pour avoir accès à des réseaux sécurisés.
De la sécurité à l’action dans le domaine cyber
Face à ses menaces, l’État renforce ses moyens d’action, avec la création d’un Commandement de cyberdéfense par exemple pour les armées, mais aussi une action au niveau individuel avec la création d’un dispositif national d’assistance aux victimes créé par l’ANSSI (ACYMA).
Entre ces deux extrêmes, l’ANSSI, et les ministères concernés, accompagnent les Opérateurs d’intérêt vital (OIV), devant renforcer la sécurité de leurs systèmes d’informations, ou publient des guides d’hygiène information ou de bonnes pratiques dans les différents usages informatiques.
La tâche est sans fin puisque tous les aspects et secteurs utilisant le numérique sont concernés : des viticulteurs, des menuisiers ou des imprimeurs sont attaqués et perdent leurs données, la conséquence pouvant être la fermeture définitive de ces PMEs et donc la disparition d’emplois. L’Internet des objets démultiplie les brèches ouvertes aux hackers : caméras de surveillance, réfrigérateurs connectés ou robots (industriels, médicaux ou agricoles) et même jouets. Si les grandes entreprises, OIV ou non, ont les moyens de sécuriser leurs réseaux, elles sont tout autant ciblées et victimes.
Comme le montre cette dernière étude, les entreprises considèrent que les menaces ont les origines suivantes : une erreur ou une imprudence humaine ; un employé corrompu ou démotivé ; un individu ou un groupe isolé, extérieurs à l’entreprise ; des concurrents ; des organisations criminelles ; des organisations idéologiques (Anonymous) ; des organisations étatiques. Que l’origine des menaces, ou des failles, soient internes ou externes, il s’agit avant tout d’une question de coordination de la sécurité au niveau de l’ensemble de l’entreprise, pas seulement du service IT.
Il ne s’agit plus simplement que les employés ou les cadres soient sensibilisés mais bien formés aux problématiques techniques (en fonction de leurs implications), aux menaces récurrentes ou émergentes (nécessité d’un plan de veille spécifique) et à la coordination interne : que les « approches » directes des personnes (par e-mail ou par téléphone) soient signalées ; que les bonnes pratiques soient appliquées à tout niveau ; que les personnels soient responsabilisés au vu des enjeux économiques et sociaux. Seule la formation, continue ou initiale, peut couvrir ces besoins.
Séminaire cyberconflictualite et forces armées à Saint-Cyr. defense.gouv.fr
Or en France, même sur les profils de spécialistes la demande (emplois) est supérieure à l’offre (diplômés). Sciences Po Paris ou le Lycée Militaire de Saint-Cyr ont récemment annoncé la création de cursus dédiés à la sécurité et au cyber. Mais les écoles de commerce ou d’ingénieurs n’ont pas généralisé l’enseignement des principes de sécurité, sans même parler de cybersécurité, y compris dans les cursus où l’informatique (réseaux ou logiciels) est abordée. Comment donc former les futurs personnels, mais aussi et surtout les personnels en activités ?
Faut-il développer le renseignement d’origine cyber ?
La liste de l’origine des menaces est révélatrice : des individus, des concurrents, des groupes et des organisations. Il serait utile d’approfondir l’étude de l’emploi par les organisations criminelles de hackers réputés indépendants par nature. Celles-ci ont des modes de fonctionnement équivalent à ceux des entreprises, mais avec des modes d’action illégaux : objectifs de parts de marché, offres de service différenciées, diversification ou spécialisation des activités (production, transport, revente) mais aussi externalisation à des prestataires de services.
Le « marché » du rançonnage est en pleine croissance car il implique peu de risques physiques directs, contrairement à la production/distribution de drogues, des moyens limités (hackers et ordinateurs), des revenus moins élevés que d’autres activités mais un marché mondial. Tout comme pour le « cyber-djihadisme », l’analyse des modes de communications et d’actions des organisations criminelles améliorerait notre capacité de réaction voire d’anticipation. Il ne s’agit pas de se murer derrière des firewalls et des procédures mais de se renseigner sur un adversaire, la cyber intelligence.
Les entreprises mettent elles en place des solutions anti cyberattaques ? Sekurigi
L’adversaire peut être économique (concurrents ou criminels), militaire (états ou mouvements terroristes) et politique (états ou concurrents). Pour en revenir aux failles humaines, le fait que des emails de responsables soient facilement accessibles, car non protégés, ou que nous ne soyons pas capables de répondre à de la propagande sur Internet, est une faute grave que ces adversaires ont tout loisir d’exploiter. Nous sommes responsables collectivement de ces manquements car les méthodes existent au niveau de la sécurité, de la formation ou de la vérification de l’information.
Il est possible de vérifier qui est l’émetteur d’un e-mail avant de cliquer sur un lien d’hameçonnage ou de renforcer nos mots de passe. Il est possible de cloisonner les droits d’administration et d’utilisation d’un réseau information, ou de le rendre inaccessible aux anciens employés. Il est possible, pour les services habilités mais aussi des hackers « noirs », d’avoir accès aux messageries sécurisées.
Companies are increasingly turning to emerging markets for new growth opportunities as developed markets become saturated. When we hear the term emerging markets, we typically think of the BRIC countries – Brazil, Russia, India and China – but other countries, such as South Korea, Mexico, Indonesia, Turkey, Saudi Arabia and Iran may also qualify. The economies in these countries are growing, but are not yet as large, liquid or accessible as those in more mature markets.
Les sociétés souhaitant s’internationaliser sont confrontées à différents types de risques : instabilités internes, concurrence abusive, espionnage économique… mais aussi parfois la corruption.
Ces risques peuvent parfois s’agencer dans un cas ultime où la société « visée » n’aura pas toujours les mêmes moyens d’action ou d’influence que ses concurrents. Actuellement, l’accroissement du risque « corruption » représente un décalage de compétitivité tant les lois varient d’un pays à l’autre, ce qui crée un nouveau défi. La bonne gouvernance interne, ainsi que l’audit des activités, et les « due diligence », méthodes associées au concept de conformité (compliance en anglais) sont de nouvelles façons de se prémunir contre ces menaces.
Des procédures anticorruption
La France va mettre en œuvre, dans le cadre de la loi Sapin II, votée à l’Assemblée nationale le 8 novembre dernier, de nouvelles dispositions anticorruption. Cette loi va créer l’obligation, pour toutes les entreprises réalisant plus de 100 millions d’Euros de chiffre d’affaires, et ayant au moins 500 salariés, de mettre en place des procédures anticorruption impliquant le développement d’un système d’information interne et externe.
Jusqu’à présent, les entreprises françaises pouvaient suivre les recommandations de l’OCDE à ce sujet, devaient suivre les obligations existantes dans certains pays, mais elles avaient généralement la possibilité de ne rien faire pour prévenir le risque corruptif ou criminel même si elles y étaient souvent exposée dans le cadre de leurs activités à l’international. Si un des principaux points de la loi est la création d’une Agence Française Anticorruption, elle aura également des impacts importants sur l’organisation des entreprises.
Les procédures à mettre en œuvre dans le cadre la future loi sont :
l’adoption d’un code de conduite décrivant les comportements à proscrire caractérisés par des faits de corruption ou de trafic d’influence ;
la mise en œuvre d’un dispositif d’alerte interne ;
l’établissement d’une cartographie des risques ;
la mise en œuvre d’une procédure de vérification de l’intégrité des clients, fournisseurs, partenaires et intermédiaires ;
la réalisation de contrôles comptables internes ou externes ;
l’organisation d’une formation dispensée aux cadres de la société et aux personnels les plus exposés ;
l’instauration de sanctions disciplinaires permettant de sanctionner les membres de la société en cas de violation du code de conduite de la société.
Outre les sanctions vis-à-vis des employés fautifs, une peine complémentaire de mise en conformité visera l’entreprise, et ses dirigeants, en cas d’absence de mise en place des procédures ci-dessus.
On le voit, sans parler des contraintes légales, de nouvelles contraintes managériales apparaissent.
Les enjeux managériaux de la compliance
Le principal facteur de variation des moyens à mettre en œuvre reste le cadre légal et réglementaire à appliquer. La plupart des pays ont des lois anticorruption, mais tous n’ont pas de cadre contraignant les entreprises à anticiper d’éventuels litiges par la vérification de l’identité, de la qualité, de la réputation et du casier judiciaire de leurs partenaires, fournisseurs, clients.
La mise en œuvre de multiples cadres légaux représente une autre contrainte managériale qui va s’appliquer aux entreprises concernées par la loi Sapin II. Elle nécessite aussi la mise en place d’une fonction transversale chargée de coordonner les actions à mener :
suivi de l’évolution du cadre légal et réglementaire ;
création de postes dédiés ;
coordination avec les fonctions financières et opérationnelles ;
formation interne de cadres venant d’horizons et cultures différentes ;
recherches nécessaires à la documentation interne opposable aux autorités (parfois privées ou associatives) ;
audits internes sur le fond et la forme ;
suivi de l’évolution des menaces internes et externes.
Le projet de loi Sapin II précise non seulement les procédures à mettre en œuvre, les sanctions envisagées, mais également la documentation à créer. Quand un groupe international peut créer une équipe dédiée comptant plusieurs dizaines d’employés spécialisés, quels seront les moyens disponibles pour une entreprise de 500 personnes, pourtant soumise aux mêmes obligations ?
En effet, outre le code de déontologie, il faut créer de toutes pièces les procédures recommandées, prévoir des audits supplémentaires des contrats, des comptes et des relations commerciales mêmes non formalisées, faire réaliser des investigations sur les « tierces parties » (due diligence), désigner des responsables internes voire créer des postes dédiés, lister et formes les salariés « à risque » et mener une veille juridique sur les marchés visés, l’environnement concurrentiel.
La mise en œuvre de ces différents processus, et cadres légaux, fait appel à toutes les fonctions de l’entreprise : juridique, financière, opérationnelle (marketing, production, export), communication ou ressources humaines et sécurité.
Les enjeux informationnels de la compliance
L’intelligence économique, comme outil de management de l’information et de coordination des actions, peut elle également servir dans ce cadre ?
Ses fonctions sont une connaissance approfondie des compétences internes et des risques éventuels ou du jeu des acteurs de l’environnement concurrentiel ce qui lui confère un rôle stratégique. En effet, si certaines tâches, comme la veille juridique ou certaines investigations, peuvent être externalisées, il n’en va pas de même pour l’interface avec les fonctions opérationnelles ou financières, ou la préservation de la confidentialité des objectifs stratégiques ou technologiques de l’entreprise.
D’autres fonctions, nécessairement liées à la conformité, sont externalisées comme l’audit des comptes, leur certification, ou la formation continue des personnels. Sans parler de moyens financiers, une entreprise ne peut pas tout internaliser.
S’il est facile d’identifier un concurrent, un groupe criminel est moins visible d’autant que les plus organisés investissent dans des affaires légales voire dans le lobbying politique à haut niveau. Il s’agit de la fonction « anticipation » de l’intelligence économique, compréhension des évolutions de l’environnement passant par la mise en œuvre de méthodes d’analyse.
En combinant ces approches, chaque entreprise peut concevoir sa propre grille d’évaluation des risques, en fonction de son industrie, de ses pays d’activités, des lois applicables, des analyses de risque disponibles et du principe de pertinence des sources sur la qualité de l’information.
SME and SMI can be exposed to various criminal risks in their international operations: funds’ extorsion, corruption’s request, money laundering, hostile takeover.
Les conventions internationales de l’ONU, les recommandations de l’OCDE, les lois nationales – dont l’application est globale – votées par les Etats Unis, les pays Européens et leur propres cadres réglementaires, les lois supranationales dans le domaine bancaire, sont autant de « canevas », de cadres de référence que les entreprises doivent appliquer pour lutter contre la corruption[i]. Cette multiplication nécessaire des cadres de référence crée des enjeux pour le management des entreprises, qu’elles soient présentes à l’international ou simplement exportatrices. Cela accroit le nombre de contraintes de déclaration, et documentation, pour être « conforme » à ces canevas. Les entreprises doivent avoir un outil à même d’être adapté à son environnement d’emploi, aux contraintes de chaque cadre d’action et apportant des méthodologies opérationnelles. Cet outil doit-il être normé, pour être reconnu officiellement, ou plus simplement conforme aux cadres de référence afin de pouvoir être accepté par les autorités officielles le cas échéant ? L’Observatoire du Crime Organisé (OCO)[ii] propose un système de management répondant à ces différents enjeux.
Les sociétés souhaitant se développer globalement sont confrontées à différents types de risques : instabilités internes, concurrence abusive, espionnage économiques mais aussi parfois la corruption qui apparaît dans les appels d’offres publics ou la réalisation de projets industriels. Or ces risques peuvent parfois s’agencer dans un cas ultime où la société « visée » n’aura pas toujours les mêmes moyens d’action ou d’influence que ses concurrents. Actuellement l’accroissement du risque « corruption » représente un décalage de compétitivité tant les lois varient d’un pays à l’autre. Le développement de ces nouvelles formes de concurrence exacerbée, liées à l’émergence d’acteurs n’ayant pas les mêmes lois à appliquer, crée un nouveau défi. La bonne gouvernance interne, ainsi que l’audit des activités, et les « due diligence », méthodes associées au concept de conformité (compliance en anglais) sont de nouvelles façons de se prémunir contre ces menaces. L’intelligence économique, comme outil de management de l’information et de coordination des actions, peut elle servir dans ce cadre ?
The OECD analyzed 427 foreign bribery cases that were closed between 1999 and 2014. What the researchers found is a steady stream of illicit money exchanges between multinational businesses and public officials in both poor and rich countries.
Filed under: Corruption, OECD | Tagged: bribery, companies, governments, oecd, report | Commentaires fermés sur How the world’s biggest companies bribe foreign governments—in 11 charts – The Washington Post
Mais ne s’agit-il pas plutôt d’un déficit d’analyse à l’échelle des entreprises ou de l’état des marchés exports et des stratégies de ces concurrents ? Il s’agit aussi d’un déficit de formation sur les métiers du renseignement, donc d’organisation et culture de l’enseignement. Mais il faut surtout cesser de considérer l’espionnage économique ou la corruption politique comme des raccourcis facilitant les « affaires ».
