Une société de services financiers et son fournisseur d’archivage de données étaient en désaccord, poliment et sans s’en rendre compte, sur le sens d’une exigence de conservation des données prévue par une réglementation financière. La réglementation imposait de conserver les relevés de transactions des clients pendant au moins cinq ans. L’interprétation de la société, fondée sur l’avis de ses conseillers en conformité, était que le délai de cinq ans courait à partir de la date de collecte des données, c’est-à-dire la date de création du relevé de transaction. L’interprétation du fournisseur d’archivage, fondée sur la lecture de sa propre équipe juridique, était que ce délai courait à partir de la date de la dernière activité sur le compte, un calcul qui prolongeait de fait la conservation au-delà de cinq ans pour les comptes actifs et pouvait la raccourcir pour les comptes dormants dont les transactions étaient anciennes. Les deux parties étaient sincèrement convaincues d’être conformes. L’examen de conformité SOX de la société l’année suivante a révélé la divergence lorsque l’auditeur a demandé au fournisseur d’archivage de confirmer les durées de conservation d’un échantillon de relevés de transactions. Certains relevés de l’échantillon avaient été conservés moins de cinq ans à compter de leur date de collecte : conformes selon l’interprétation du fournisseur, non conformes selon celle du client et le test de l’auditeur. L’examen réglementaire du trimestre suivant a soulevé la même question. La réponse exigeait une analyse juridique que personne n’avait jamais demandée au fournisseur.
Les écarts d’interprétation réglementaire, de quoi s’agit-il vraiment ?
Les écarts d’interprétation réglementaire sont des divergences entre la manière dont différentes parties (régulateurs, organisations, fournisseurs et conseillers juridiques) interprètent les exigences précises des réglementations applicables. Les réglementations sont rédigées dans une langue juridique qui exige une interprétation pour leur mise en œuvre opérationnelle, et un même texte peut être lu différemment par différentes équipes juridiques, différents professionnels de la conformité et différents documents d’orientation réglementaire. Une réglementation qui impose de conserver des données pendant cinq ans laisse ouverte la question du point de départ du délai, et des interprétations différentes produisent des durées de conservation différentes qui prétendent toutes satisfaire la même exigence.
L’incertitude quant à l’application de la réglementation constitue la difficulté structurelle. Une réglementation n’est interprétée de manière définitive que lorsqu’un régulateur examine la mise en œuvre d’une organisation précise et l’accepte ou la conteste. Jusqu’à une mesure d’exécution, l’éventail des interprétations plausibles reste ouvert. Organisations et fournisseurs peuvent appliquer des interprétations juridiquement défendables au regard des recommandations disponibles, mais que le régulateur contesterait lors d’un examen. La déclaration de conformité est sincère. L’examen réglementaire qui met l’interprétation à l’épreuve peut aboutir à une autre conclusion.
L’alignement des interprétations entre fournisseur et client constitue la dimension pratique pour le TPRM. Lorsqu’un client a une interprétation précise d’une exigence réglementaire et compte sur un fournisseur pour la mettre en œuvre en son nom, un fournisseur qui applique une autre interprétation peut être sincèrement conforme selon sa lecture sans pour autant satisfaire l’exigence de mise en œuvre du client. La confirmation dans le questionnaire « oui, nous respectons l’exigence de conservation de cinq ans » décrit exactement la conformité du fournisseur à son interprétation. Elle ne confirme pas que sa mise en œuvre correspond à l’exigence de mise en œuvre du client.
- Fournisseur et client appliquant des interprétations différentes de la même exigence
- Différences de calcul de la durée de conservation : date de collecte, dernière activité ou dernière transaction
- Conformité confirmée au regard de l’interprétation du fournisseur sans vérifier son alignement avec celle du client
- Interprétation du régulateur inconnue jusqu’à l’examen
- Détails précis de mise en œuvre non décrits dans la confirmation de conformité
Pourquoi c’est important
Les écarts d’interprétation réglementaire sont un enjeu pour le TPRM parce que l’obligation réglementaire du client n’est satisfaite que si le fournisseur met en œuvre l’exigence selon l’interprétation que retiendra le régulateur, et non selon celle que le fournisseur juge la plus commode sur le plan opérationnel ou la plus défendable juridiquement. Lorsque l’interprétation du fournisseur conduit à une mise en œuvre différente de celle qu’impliquerait l’interprétation du client, les données du client sont traitées d’une manière qui peut ne pas satisfaire ses exigences réglementaires, même si le fournisseur se croit conforme.
L’exposition aux mesures d’exécution incombe directement au client. Lorsqu’un régulateur examine les pratiques de traitement des données et constate des durées de conservation plus courtes que ce qu’exige la réglementation selon son interprétation, la mesure d’exécution vise le responsable du traitement, c’est-à-dire le client, même si la durée plus courte résulte d’un choix de mise en œuvre du fournisseur. Le client supporte la conséquence réglementaire de l’écart d’interprétation du fournisseur.
Là où la plupart des équipes se trompent
La défaillance la plus fréquente consiste à accepter une confirmation de conformité sans vérifier les détails précis de mise en œuvre qui rendent l’exigence réglementaire opérationnelle. La confirmation de la conformité à une exigence de conservation devrait inclure le calcul précis de la durée de conservation (à partir de quel événement, jusqu’à quel terme, avec quelles exceptions), et pas seulement la confirmation que les données sont conservées.
- Accepter une confirmation de conformité sans précisions sur la mise en œuvre
- Calcul de la durée de conservation non décrit : à partir de quel événement, jusqu’à quel terme
- Interprétation du client non communiquée au fournisseur comme exigence de mise en œuvre
- Alignement des interprétations non vérifié avant de supposer que la mise en œuvre du fournisseur correspond
- Recommandations réglementaires non examinées pour clarifier l’interprétation
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion de l’interprétation réglementaire communiquent aux fournisseurs l’interprétation précise du client pour les principales exigences, leur demandent de confirmer qu’ils mettent en œuvre cette interprétation précise, et examinent les recommandations réglementaires et les mesures d’exécution qui révèlent l’interprétation du régulateur.
- Communiquer aux fournisseurs l’interprétation précise : à partir de quel événement, jusqu’à quel terme, avec quelles exceptions
- Demander aux fournisseurs de confirmer que leur mise en œuvre correspond à l’interprétation du client
- Examiner les recommandations réglementaires pour clarifier l’interprétation des principales exigences
- Inclure des précisions de mise en œuvre dans le DPA : non seulement des obligations de conformité, mais des exigences de mise en œuvre précises
- Surveiller les mesures d’exécution pour repérer les signaux d’interprétation des régulateurs
Outils
Veille réglementaire : OneTrust, Relativity Compliance, LexisNexis Regulatory Compliance
Les plateformes de veille réglementaire suivent les recommandations des régulateurs, les mesures d’exécution et les lettres interprétatives qui précisent comment les régulateurs appliquent concrètement des exigences précises. Pour les praticiens du TPRM, utiliser la veille réglementaire pour suivre l’historique interprétatif du régulateur sur les principales exigences fournit la base d’interprétation des exigences de mise en œuvre imposées aux fournisseurs.
Enjeux de gouvernance
La difficulté de gouvernance de l’interprétation réglementaire tient au fait que de nombreuses exigences sont formulées de manière réellement ambiguë, plusieurs interprétations restant défendables tant qu’un régulateur ne s’est pas prononcé précisément sur la question. La réponse de gouvernance ne consiste pas à lever définitivement l’ambiguïté, ce qui n’est pas toujours possible, mais à documenter l’interprétation du client, à exiger des fournisseurs qu’ils mettent en œuvre cette interprétation et à surveiller les recommandations réglementaires pour repérer les signaux indiquant comment l’ambiguïté est tranchée en pratique.
- Documenter l’interprétation du client pour chaque exigence réglementaire clé
- Communiquer l’interprétation aux fournisseurs comme spécification de mise en œuvre
- Demander aux fournisseurs de confirmer leur alignement sur l’interprétation précise du client
- Inclure des spécifications de mise en œuvre dans les contrats : non seulement des références réglementaires, mais des exigences de mise en œuvre précises
- Surveiller les recommandations réglementaires pour les clarifications d’interprétation
Si vous êtes une petite équipe
Choisissez les trois exigences réglementaires les plus critiques pour vos relations fournisseurs : les durées de conservation des données, les délais de notification des violations et les délais de réponse aux demandes d’exercice des droits des personnes concernées sont des candidats fréquents. Pour chacune, documentez l’interprétation précise de votre organisation : à partir de quel événement le délai commence-t-il, quel en est le terme, quelles sont les exceptions ? Demandez ensuite à vos fournisseurs les plus à risque si leur mise en œuvre correspond à ces détails précis. L’écart entre votre interprétation et la leur est l’écart d’interprétation réglementaire que votre examen pourrait révéler.
- Documenter l’interprétation précise de trois exigences réglementaires critiques
- Communiquer les interprétations aux fournisseurs les plus à risque sous forme de spécifications de mise en œuvre
- Demander aux fournisseurs de confirmer que leur mise en œuvre correspond à votre interprétation précise
- Inclure des spécifications de mise en œuvre dans les accords de traitement des données et les contrats
Ce qu’il faut exiger
Demandez directement :
« Pour l’exigence de conservation des données pendant cinq ans, pouvez-vous décrire précisément comment vous calculez la durée de conservation : à partir de quel événement le délai de cinq ans commence-t-il à courir, qu’est-ce qui en déclenche l’expiration et quelles données de notre relation sont soumises à ce calcul ? »
Preuves attendues
- Calcul précis de la durée de conservation : événement de départ, événement de fin, exceptions
- Confirmation que le calcul correspond à l’interprétation du client
- Fondement réglementaire de l’interprétation du fournisseur
- Échantillon d’enregistrements démontrant le calcul appliqué en pratique
Il convient de demander le calcul précis à un fournisseur qui confirme respecter une exigence de conservation de cinq ans. La conformité est confirmée au regard d’une interprétation. La question révèle laquelle.
Comment le prouver
- Documentation de l’interprétation du client pour les principales exigences réglementaires
- Confirmation de l’alignement de l’interprétation du fournisseur
- Registres des spécifications de mise en œuvre contractuelles
- Registres de suivi des recommandations réglementaires
À retenir
La réglementation dit cinq ans. À compter de la collecte, cela signifie une chose. À compter de la dernière transaction, cela en signifie une autre. Les deux interprétations produisent des durées de conservation différentes pour les comptes actifs. Les deux prétendent respecter la même réglementation. L’examen du régulateur fixe l’interprétation définitive. L’exposition du client aux mesures d’exécution lui incombe, quelle que soit la partie qui a choisi l’interprétation rejetée lors de l’examen. Documentez votre interprétation. Communiquez-la au fournisseur comme exigence de mise en œuvre. Demandez-lui de confirmer l’alignement. Une confirmation de conformité qui ne décrit pas la mise en œuvre précise laisse l’écart d’interprétation ouvert jusqu’à ce que l’examen le referme.