2.1.1 – Criminal compliance à l’américaine : coopération pendant l’enquête, négociation, incitation par baisse de sanction et monitoring

5Les directives fédérales sur la détermination de la peine pour des organisations (Organizational Sentencing Guidelines) fêtent cette année leur 25^e anniversaire. La perspective d’une sanction réduite est le moyen employé depuis 1991 par les Federal Sentencing Guidelines, en leur chapitre 8B 2.1, pour inciter les organisations à adapter des systèmes efficaces de compliance. En 2004, à la suite de la modification dudit chapitre 8B 2.1, il y eut une certaine reconnaissance du fait qu’un système de compliance efficace nécessiterait une culture organisationnelle encourageant un comportement éthique et le respect des lois [7]. La criminal compliance à l’américaine opère ainsi par régulation du pouvoir discrétionnaire du juge ou du procureur, qui doit prendre en compte l’existence d’un programme de compliance efficace lors de la détermination d’une sanction pénale [8].

6Le modèle américain mérite particulièrement notre attention, parce qu’il exerce sans doute la plus grande influence sur les pratiques contemporaines de compliance en entreprise et qu’il est à l’origine de l’essor d’une « industrie de compliance » [9]. Cette influence ne s’explique pas uniquement par l’importance des entreprises américaines dans l’économie mondiale, mais repose en grande partie sur la portée extraterritoriale de certaines lois américaines.

7Ce modèle incitatif serait mal compris en dehors de son contexte lié au droit pénal des personnes morales selon lequel la responsabilité pénale est imputée de manière stricte à une personne morale à travers la doctrine du respondeat superior [10]. Toutefois, cette responsabilité est conjuguée avec un système procédural qui accorde une grande part de discrétion au procureur dans l’ouverture d’un procès devant un juge. L’effet obtenu est de faciliter les poursuites pénales contre les personnes morales, tout en ouvrant de multiples possibilités pour l’entreprise de trouver une entente avec le procureur, pour que ce dernier cesse les poursuites sans ouvrir de procès grâce à un deferred prosecution agreement ou un non-prosecution agreement [11]. En conséquence, le droit pénal des entreprises se réalise en grande partie par des négociations et transactions, dans lesquelles les critères déterminant le calcul des peines prévues par les Organizational Sentencing Guidelines ne constituent qu’une base de négociation entre procureur et entreprises suspectées [12]. Les entreprises potentiellement soumises à la justice américaine sont ainsi incitées non seulement, à adopter certaines pratiques de compliance, mais également à maîtriser la coopération avec le procureur pendant l’enquête et à développer des compétences de négociation avec celui-ci. Une conclusion possible (et typique) d’une telle coopération est la suspension de procédure contre paiement d’amendes (souvent très importantes) et l’acceptation, pour une période limitée, d’une intervention directe dans la gestion des contrôles internes de l’entreprise par un monitorship [13].

2.1.2 – Modèles de due diligence : vers une responsabilité pour faute organisationnelle

8La mise en question du pouvoir discrétionnaire du procureur et du système « transactionnel » du droit pénal des entreprises aux États-Unis conduit à se demander par quels autres moyens équilibrer la doctrine du respondeat superior afin d’éviter un risque de responsabilité pénale non maîtrisable pour les entreprises. Une solution consiste à faire de la due diligence une condition additionnelle pour l’engagement de la responsabilité pénale d’une personne morale [14]. Alternativement, on pourrait aussi concevoir la due diligence comme moyen de défense [15]. Tandis que ces deux solutions diffèrent sur la question de la répartition de la charge de la preuve, elles ont en commun l’idée qu’une entreprise devrait échapper à sa responsabilité pénale, si elle a introduit et maintenu un système de gestion efficace destiné à prévenir les infractions, autrement dit, si elle a mis en place une fonction de compliance. Sous le modèle de due diligence, le programme de compliance n’est plus seulement un facteur d’atténuation de la sanction, mais il devient un fondement de la responsabilité pénale.

9En effet, hors des États-Unis, la notion de due diligence en droit pénal des entreprises gagne du terrain, et trouve même une traduction légale. L’introduction d’un délit de « défaut de prévention de la corruption par des organisations commerciales » par la section 7 du UK Bribery Act crée une responsabilité pénale stricte de l’entreprise pour les actes de corruption commis par des personnes « associées à une organisation commerciale ». Néanmoins, l’entreprise peut faire valoir un adequate systems defense, si elle peut prouver la mise en place de procédures adéquates de prévention des infractions [16]. À titre d’exemples, on peut citer les approches plus générales de la responsabilité pénale des personnes morales, comme en Suisse [17], en Italie [18] ou en Australie [19]. Sur la base d’une étude de droit comparé, qui fait l’inventaire du droit pénal des entreprises de différents pays, Marc Pieth conclut qu’il y aurait « une convergence mondiale vers un modèle de due diligence » de la responsabilité pénale de l’entreprise [20]. Cela dit, la France est peut-être l’un des pays les moins marqués par cette convergence [21].

2.2.1 – L’effet prophylactique de l’autorégulation par la gestion des risques

11Les entreprises ont toutes de bonnes raisons de gérer leurs risques juridiques. Si ces risques résultent de la conjonction d’une norme juridique et d’un événement, l’un et l’autre marqués par un certain degré d’incertitude [22], une fonction de gestion des risques juridiques en entreprise va se focaliser sur la réduction des incertitudes dans la mesure où ces dernières peuvent générer des conséquences préjudiciables à la valeur de l’entreprise. Les incertitudes visées par le « risque juridique » ne concernent pas uniquement les coûts « juridiques », tels que les sommes dues pour les procédures et litiges, les sanctions pénales, les amendes et les mesures administratives, ou encore le versement de dommages et intérêts, mais également les coûts des mesures qui s’imposent pour minimiser les impacts négatifs qu’un dévoilement des comportements illicites au sein de l’entreprise pourrait entraîner. Sont visés les coûts pour canaliser et maîtriser l’information sur les faits et les preuves, les coûts des enquêtes internes, les coûts de la communication destinée à rassurer les actionnaires, les consommateurs et les autres parties prenantes, les coûts des mesures qui s’imposent si l’entreprise veut rétablir la confiance avec les autorités et, plus globalement, les coûts de toutes les autres mesures visant à s’assurer que l’incident ne nuit pas à la réputation de l’entreprise de manière durable [23].

12L’approche de la compliance par la gestion des risques présente un avantage avéré ; elle est empreinte d’un pragmatisme certain, en ce qu’elle justifie en réalité une démarche de conformité au sein de l’entreprise, cette dernière étant soumise, dans l’économie de notre époque, à l’obligation primordiale de créer sa propre valeur. On peut ajouter que les méthodes et le langage du risk management motivent les managers à réaliser la conformité aux lois dans toute l’entreprise, y compris dans celles dont l’organisation est complexe. Tandis que l’approche par la gestion des risques accepte implicitement la prise de risque, la prévention et la détection des comportements illicites de ses agents représentent souvent la meilleure décision à prendre [24]. De même, tandis que la gestion des risques juridiques en entreprise sert, à première vue, les intérêts et objectifs stratégiques de celle-ci, elle peut avoir pour « effet secondaire » de réguler le comportement des individus et déployer des vertus prophylactiques souhaitables dans une perspective d’intérêt général.

2.2.2 – Vers l’alignement des intérêts : la promesse d’une « autorégulation réglementée » : la coopération private-public

13Comme il a déjà été expliqué, l’entreprise gérant ses risques de non-conformité et l’État cherchant à prévenir, détecter et poursuivre la violation des lois, devraient se rejoindre, moins par convergence des motifs poursuivis que par celle des intérêts défendus. Par la criminal compliance, l’État tend à renforcer cette convergence d’intérêts par l’adoption d’un droit qui encadre l’autorégulation que l’entreprise impose à ses agents. Cette approche, que l’on peut dénommer « autorégulation réglementée » [25], ou « méta-réglementation » [26], ou encore – en se référant à l’encadrement de la gestion des risques – « droit pénal des risques », repose sur un crédit de confiance accordé à l’entreprise. On table sur le fait qu’elle va mettre en place des routines et des procédures efficaces pour la prévention des délits, pendant que la fonction du droit se limite à prévoir des cas d’intervention pour les hypothèses où l’autorégulation par l’entreprise elle-même devient défaillante. À cet égard, on peut considérer la criminal compliance comme une déclinaison du concept de « réglementation adaptée », selon lequel la réglementation prévoit, de manière stratégique, un traitement individualisé pour chaque entité réglementée : la réaction aux infractions est adaptée en fonction du niveau de conformité des entités réglementées (soit qu’elles se conforment globalement, soit qu’elles se préparent à le faire – ou, au contraire, qu’elles ne soient pas coopératives), et en fonction de la fréquence des infractions (rares ou récurrentes) [27].

14La conséquence, ou même l’essence de la criminal compliance, est que l’entreprise n’est plus uniquement le destinataire du droit, mais fait partie intégrante de sa réalisation. La criminal compliance sous-traite la réalisation du droit à des entités privées afin de partager la tâche de prévention et de poursuite des crimes économiques. Si toute forme d’autorégulation réglementée constitue déjà implicitement une coopération private-public, dans le cas de criminal compliance, cette coopération peut se réaliser concrètement sur le terrain, en particulier lorsque l’entreprise initie une enquête interne qui viendra accompagner les poursuites menées par le procureur [28]. L’objectif de l’enquête interne pour l’entreprise est de maîtriser les flux d’informations entre entreprise, procureur et domaine public [29]. Du point de vue du procureur, l’enquête interne conduite par l’entreprise constitue une source d’information riche qui peut alléger de manière importante le travail et accélérer les poursuites [30].

15Ces bénéfices apparents peuvent être mis en question à la lumière des recherches sur les conditions de l’efficacité de la compliance et les effets contre-productifs de l’incitation étatique.

3.1.1 – Le rôle décisif de la légitimité de la compliance et de la culture de l’entreprise

18La recherche sur l’efficacité des programmes de compliance est largement basée sur les études en psychologie sociale sur la motivation des individus à suivre des normes. La distinction entre motivations intrinsèques et extrinsèques [36] aide à mieux comprendre les conditions d’efficacité des normes dans ce contexte. Les mesures d’application coercitives ou incitatives (on peut assimiler les deux à un renforcement de la motivation extrinsèque à suivre la norme) ont généralement l’avantage de conduire à des changements de comportements rapides. Ces mesures sont également relativement faciles à mettre en place et à gérer. Toutefois, elles peuvent avoir tendance à produire des « effets d’éviction » de la motivation intrinsèque à se conformer à une norme [37]. En effet, quand les individus se conforment à une norme uniquement à cause de la crainte d’une sanction, ou, à l’inverse, pour bénéficier d’un avantage (souvent monétaire), l’application de la norme peut devenir très coûteuse à maintenir. In extremis, il faut maintenir un contrôle permanent des comportements ou allouer des ressources considérables pour récompenser continûment le comportement souhaité [38].

19Les recherches sur l’efficacité des programmes de compliance ont démontré de manière générale qu’une culture d’entreprise basée sur des valeurs offre de meilleurs résultats en termes de conformité aux normes qu’une culture basée sur le contrôle [39]. Quand les salariés perçoivent un système de compliance comme étant légitime parce qu’ils partagent les valeurs véhiculées par ce système, la propension à commettre des infractions se réduit [40]. Des recherches plus récentes ont révélé un jeu d’influences mutuelles entre motivations intrinsèques et extrinsèques à se conformer aux normes [41]. Elles suggèrent un regard différencié sur les conditions d’efficacité de la compliance : des mesures de contrôle et de discipline peuvent en effet renforcer les motivations intrinsèques à suivre une norme si les destinataires d’un système de compliance ont confiance dans l’autorité exercée par l’employeur et si les sanctions (ou incitations) sont dictées par des procédures perçues comme étant équitables et claires par rapport à leurs objectifs [42].

20L’influence de la culture de l’entreprise, le degré de confiance qui y règne et l’équité procédurale sont les clés pour comprendre le succès, ou l’échec, d’un système de compliance en termes d’anticipation et de prévention des méfaits. Évidemment, ces éléments ne se mettent pas en place tout seuls. L’adoption d’un système de compliance purement formel, non intégré à la culture de l’entreprise, ne fonctionnera pas [43]. Le concept d’« infrastructure éthique » [44] peut aider à démêler la complexité de la gestion des comportements en entreprise, tout en prenant en compte la difficulté à saisir sa culture. L’infrastructure éthique consiste en trois systèmes qui interagissent entre eux. Au premier plan, on trouve les systèmes formels (par ex. codes de conduite, formations, objectifs fixés, procédures écrites de discipline, sanctions et récompenses explicites). Ils opèrent à travers des systèmes informels (par ex. comportement réel de la direction, gestion réelle des procédures, imposition de sanctions informelles par pression, ostracismes). L’interaction entre systèmes formels et informels opère sur fond de climat éthique, lequel dépend de la perception qu’ont les employés du comportement souhaité par l’entreprise [45]. Les trois systèmes agissent de manière différente sur la propension à agir d’une façon ou d’une autre. L’influence la plus forte sur le comportement des individus est dictée par le climat éthique, suivie par les systèmes informels. Les systèmes formels peuvent renforcer les autres systèmes. Leur influence est maximale dans les cas où la propension à commettre des violations est élevée (à cause des routines informelles). Néanmoins, dans ce cas, un système formel doit être administré avec fermeté et de manière cohérente, tout en conservant des procédures équitables [46]. Si les systèmes formels ne sont pas appliqués de manière cohérente, ils restent au mieux sans effet. L’adoption d’un programme de compliance qui n’est pas en cohérence avec les pratiques informelles de l’entreprise, lesquelles ne sont pas perçues comme étant pertinentes, ou même légitimes, par ses collaborateurs, risque de produire des effets contre-productifs. Ce sont ces effets qu’il convient d’analyser dans les deux paragraphes qui suivent.

3.1.2 – Premier effet contre-productif : la perversion de la compliance

21Si l’entreprise ne gère pas la compliance dans le but de renforcer des valeurs éthiques en entreprise, mais qu’elle agit de manière purement amorale, la prévention des actes illicites n’est plus qu’une tactique, qui occupe en pratique la même place que la couverture de la non-conformité. Tandis que pour l’État la prévention du crime est un objectif, elle reste pour l’entreprise une tactique parmi d’autres [47]. Pour l’entreprise amorale, la compliance ne représente que la maîtrise des risques de non-conformité avec pour objectif final la création de valeur, ce qui peut parfois entrer en conflit avec un objectif de prévention du crime [48].

22Comme il a été expliqué précédemment, la criminal compliance cherche toutefois à exploiter cette convergence des intérêts, aussi partielle soit-elle, en présageant qu’il est possible d’inciter les entreprises à préférer une tactique de compliance qui mettrait la priorité sur la prévention des infractions. C’est pourtant un espoir naïf, et ce, pour plusieurs raisons : d’abord, l’opérabilité de ce modèle dépend de la force d’intervention d’une autorité juridique lorsque l’autorégulation par l’entreprise elle-même devient défaillante. Sans réelle faculté d’intensifier la pression sur l’entreprise quand cela devient nécessaire, l’État risque de se retrouver désemparé face à une instrumentalisation de la compliance par l’entreprise qui peut, dans certaines circonstances, pervertir le but de la criminal compliance. C’est notamment la problématique pour les délits économiques (tels que le délit d’initié, la manipulation des marchés, la corruption, ou la fraude en matière de valeurs mobilières), notoirement difficiles à découvrir pour un procureur, sans parler de la difficulté d’en rapporter la preuve. L’information offerte par l’entreprise devient une source critique pour l’enquête du procureur. Dans ces cas, la coopération private-public ne facilite pas nécessairement le travail du procureur, mais devient plutôt une condition pour le conduire au succès. Au moment de déterminer la tactique de compliance la mieux adaptée à sa stratégie, l’entreprise, tant qu’elle est bien informée, va prendre en compte le niveau de dépendance du procureur par rapport à la coopération de l’entreprise. Dans des situations extrêmes, où les moyens de l’État sont limités (par exemple, en raison de coupures dans le budget alloué aux institutions juridiques) et lorsque le nombre de cas à traiter augmente, certaines entreprises pourraient arriver à la conclusion que le risque d’une stratégie de non-conformité est parfaitement maîtrisable, parce qu’elles peuvent raisonnablement contrôler les flux d’informations vers le procureur. Le management de l’entreprise peut garder une main sur l’information concernant la commission d’actes illicites au sein de l’entreprise. Ces circonstances pourraient entraîner une « spirale vers le bas » dans la commission de crimes économiques, comme l’ont illustré les multiples fraudes ayant lourdement grevé les ressources des procureurs et des autorités régulatrices pendant la crise financière de 2008-2009 [49].

23Les dynamiques qui rendent la perversion de la compliance possible sont non seulement dues à une certaine dépendance des autorités juridiques à la coopération de l’entreprise, mais sont également liées au fait qu’un procureur, régulateur ou un juge ont nécessairement un aperçu superficiel de la véritable efficacité des programmes de compliance. Lors d’une décision sur une sanction, ou sur l’attribution d’une responsabilité pénale, il n’est guère praticable pour une autorité juridique de mener une enquête détaillée analysant l’intégration d’un programme de compliance dans une culture d’entreprise basée sur des valeurs. Dans la mesure où une autorité n’arrive pas à distinguer un programme « cosmétique » d’un programme sérieusement intégré, une entreprise peut exploiter ce décalage d’information et mettre en avant une façade de compliance exemplaire, tout en faisant porter le chapeau à certains employés servant de boucs émissaires. L’entreprise peut adapter un programme de compliance qui se conforme formellement aux critères imposés par l’État, sans se soucier de l’influence positive que ce programme exerce sur les comportements. Dans ce cas, l’investissement dans un programme de compliance opère comme « une assurance contre la responsabilité pénale de l’entreprise », avec le problème d’aléa moral qui va de pair [50].

24Certes, il ne faut pas exagérer la tendance des entreprises à détourner la criminal compliance de ses objectifs réels. Très probablement, peu d’entreprises ont l’expertise suffisante (et des managers suffisamment peu scrupuleux) pour maîtriser un programme de compliance de manière purement stratégique. Toutefois, pour générer des effets contre-productifs, il n’est pas nécessaire que l’entreprise exploite abusivement les incitations dictées par la criminal compliance. Il suffit que les collaborateurs d’une entreprise soient soumis à des pressions commerciales qu’ils perçoivent comme étant plus importantes que le souci de la conformité et que l’entreprise – malgré des engagements formels pris quant à la compliance – ne consacre pas suffisamment d’efforts à changer la perception de ses collaborateurs [51]. S’il est sage de présumer que la majorité des directeurs de conformité vont faire un effort bona fide pour mettre en place des procédures et contrôles qui seront perçus comme légitimes, il n’est pas sûr qu’ils reçoivent pour autant le soutien nécessaire de la direction et l’attention requise par les salariés pour mener ce projet à bien [52].

3.1.3 – Deuxième effet contre-productif : la priorité donnée aux mesures démontrables ou les limites d’une compliance dictée par l’État

25Le problème du décalage entre l’adoption formelle d’un programme de compliance et son efficacité réelle, à travers des pratiques et routines informelles jouant sur fond de climat éthique, ne représente pas seulement un risque pour la criminal compliance, mais, en réalité, devient sa conséquence presque inévitable. Quand l’État, par des incitations de droit pénal, dicte les critères d’une compliance efficace, un directeur de compliance va concentrer ses efforts sur la mise en place d’un système jugé efficace par les autorités juridiques. La priorité est alors donnée aux mesures de compliance facilement démontrables. Un directeur de compliance, bien intentionné et disposant des moyens budgétaires adéquats, va au moins tenter d’influer sur les routines informelles et, pour ce faire, rechercher l’aide de la direction, et tenter de convaincre les salariés des bienfaits d’un système de compliance. Néanmoins, l’ordre des priorités est inverse de celui des effets produits : l’aspect formel vient d’abord, le travail d’intégration suivra (peut-être) après. La recherche empirique nous indique qu’une mesure formelle ne vaut guère sans une culture d’entreprise qui la soutienne et sans que cette mesure soit perçue comme légitime.

26Le problème de base est que la criminal compliance ne peut pas inciter à autre chose qu’à des mesures formelles. Si, par exemple, le droit pénal veut introduire un principe de due diligence, le principe de sécurité juridique requiert qu’une personne morale connaisse par avance les critères satisfaisant les conditions nécessaires pour se défendre contre l’imputation de responsabilité risquant de se produire.

27Comme il a déjà été mentionné, les rédacteurs des directives fédérales américaines sur la détermination de la peine pour des organisations ont été visiblement impressionnés par les recherches sur l’importance de la culture de l’entreprise basée sur des valeurs. En 2004, ils ont tiré la conclusion que le critère lié à la culture organisationnelle encourageant un comportement éthique et le respect des lois était déterminant et l’ont ajouté au texte des Guidelines [53]. Néanmoins, pour prescrire une culture organisationnelle, il fallait préciser en quoi une telle culture devait consister. Le paragraphe 8B 2.1. des Federal Sentencing Guidelines et sa note d’application contiennent des précisions, par exemple que le programme doit être communiqué à tous les employés, qu’il faut offrir des formations, qu’il faut apprécier de manière périodique leur efficacité, etc. [54]. Toutefois, rien d’autre n’a été fait que proposer des critères formels additionnels, sans que soit prévue une analyse de l’intégration du dispositif de la compliance dans une culture d’entreprise propice à le rendre efficace.

28Inspiré par les études empiriques mentionnées plus haut sur l’infrastructure éthique, David Hess a fait une proposition intéressante pour remédier au problème évoqué. Il suggère une modification du paragraphe 8B 2.1 des lignes directrices afin que soit prise en compte l’importance des routines informelles et perceptions des employés : pour démontrer une culture organisationnelle propice à la conformité, une organisation devrait observer des routines informelles de communication, contrôle et sanction, et promouvoir un système informel soutenant les objectifs du programme de compliance et éthique ; de surcroît, l’organisation devrait périodiquement mesurer la perception que les membres de l’organisation ont de son climat éthique [55]. Il faut se demander, toutefois, si cette proposition ne souffre pas de la même faiblesse, à savoir qu’une importance disproportionnée risque d’être attribuée à la construction des référentiels formels. Une entreprise, soucieuse de bénéficier d’une réduction de peine, assurerait de prime abord sa capacité à démontrer une veille sur les pratiques informelles et son souci de mener périodiquement une analyse des perceptions (sans que cette analyse contienne nécessairement des informations pertinentes sur la question).

29L’origine de la déconnexion entre forme et pratique de la compliance réside, alors, dans l’écart entre la relative facilité d’établir et de démontrer l’existence d’un programme de compliance se conformant aux critères dictés par la criminal compliance et l’énorme difficulté de prouver, ou de mesurer, son efficacité réelle. Certes, une évaluation de l’efficacité de la compliance n’est pas totalement hors de portée, comme nous le montre la recherche mentionnée plus haut. La preuve de l’efficacité d’un programme de compliance peut être apportée, d’abord, de manière indirecte en analysant les perceptions que les salariés ont du climat éthique (sous la condition que cette étude soit dirigée par une instance indépendante garantissant la sincérité des salariés) [56]. Sur cette base, on pourrait ensuite mesurer l’efficacité de la compliance à la lumière des incidents (un incident serait une violation des lois avérée ou un soupçon solide). L’incident donne l’occasion d’analyser les facteurs réels ayant contribué à sa réalisation et d’examiner les réactions et améliorations proposées, en recherchant par la suite, si de telles améliorations ont effectivement eu lieu. La mesure de l’efficacité de la compliance serait alors une mesure raisonnée du progrès continu. Néanmoins, si l’État voulait opérer une vérification de cette mesure, il devrait engager des moyens (en temps et en argent) assez importants. La criminal compliance n’offre pas l’avantage économique escompté, au contraire, l’État doit investir des ressources supplémentaires pour éviter la déconnexion entre forme et fond en matière de compliance. Peut-être faut-il reconnaître que le droit pénal atteint ici ses limites quant à sa capacité à influer sur les systèmes de gestion en entreprise et la culture d’entreprise.