Une réflexion sur les méthodes de contournement
Note liminaire
Cet article ne porte pas de jugement sur l’ISO 31000, le COSO, ou les cadres de contrôle interne. Il pose une question plus simple : que devient un référentiel lorsqu’il quitte l’intention de ses auteurs et qu’il entre dans l’organisation qui l’applique ?
L’écart entre l’intention et l’usage est un phénomène structuré, qui a ses méthodes, ses acteurs, et ses effets. Cet article propose de le décrire. Il ne prétend pas trancher la question de savoir s’il faut y remédier. Il propose une lecture.
L’intention du référentiel
Un référentiel est écrit avec une intention. L’ISO 31000 veut aider les organisations à comprendre et à traiter l’incertitude . Le COSO veut intégrer le risque à la stratégie et à la performance . L’AMF veut que les sociétés cotées rendent compte de leur contrôle interne. Ces intentions sont claires, documentées, et généralement honorables.-1-2–
Les auteurs de ces référentiels ne sont pas naïfs. Ils savent que leur texte sera appliqué dans des contextes variés, avec des contraintes, des acteurs, et des intérêts. Ils produisent des principes, pas des modes d’emploi. Ils laissent à l’organisation le soin de les interpréter.
Mais l’interprétation n’est pas neutre. Elle est le lieu où l’intention se transforme. Et cette transformation produit souvent un écart avec ce que le référentiel visait.
Ce que le référentiel demande
Un référentiel n’est pas seulement une intention. C’est un recueil de bonnes pratiques, et son évolution en est la preuve. Le COSO, l’ISO 31000, le cadre AMF : tous convergent vers un noyau commun.
Séparer les fonctions. Définir les responsabilités. Tracer les décisions. Réviser les dispositifs. Impliquer la gouvernance. Ces pratiques se sont construites par accumulation, par correction, par retour d’expérience. Chaque version d’un référentiel reprend ce qui a fonctionné, écarte ce qui a échoué, et affine ce qui reste.
Le référentiel dit ce qu’il faut faire. Il le dit avec précision, avec méthode, avec cohérence. Les organisations qui l’appliquent disposent d’un cadre solide, éprouvé, documenté.
Le sujet est dans ce que l’organisation fait de ce cadre.
Ce que l’usage fait
Prenons un exemple. L’ISO 31000 définit le risque comme « l’effet de l’incertitude sur les objectifs ». Cette définition est large, exigeante. Elle oblige à penser le risque dans son rapport à la stratégie, à la performance, à la décision. C’est une définition qui demande du travail.
Que devient cette définition dans une organisation ? Souvent, elle devient une cartographie. On liste des risques, on les cote, on les met dans une matrice. La définition exigeante est remplacée par un exercice de classement. Le référentiel dit « comprenez l’incertitude ». L’usage fait « remplissez la matrice ».
Ce n’est pas nécessairement conscient. C’est une adaptation. L’organisation ne peut pas faire tout ce que le référentiel demande, alors elle fait ce qu’elle peut : elle produit un livrable qui ressemble à ce que le référentiel attend, sans en produire la substance.
Les méthodes de contournement
Le contournement a ses méthodes, souvent implicites, parfois explicites.
1. La réduction à l’indicateur. Le référentiel demande de comprendre un risque. L’usage le réduit à un indicateur. L’indicateur est mesurable, comparable, reportable. Il donne l’illusion de la maîtrise. Mais il ne dit rien de la nature du risque, ni de ses interactions, ni de son évolution.
2. La conformité de façade. Le référentiel demande de démontrer que le dispositif fonctionne. L’usage produit un dossier qui démontre que le dispositif existe. Un dossier peut être parfaitement conforme et le dispositif être vide.
3. L’externalisation de la preuve. Le référentiel demande à l’organisation de rendre compte. L’usage confie ce compte à un tiers, qui produit un rapport. L’organisation achète un compte rendu. La responsabilité se déplace, mais elle ne disparaît pas.
4. La sélection des risques. Le référentiel demande d’identifier tous les risques pertinents. L’usage sélectionne ceux qui sont déjà maîtrisés, ou ceux qui sont faciles à traiter. Les risques qui dérangent sont écartés, ou requalifiés en « opportunités », ou laissés dans l’angle mort.
5. La ritualisation. Le référentiel demande un processus continu. L’usage en fait un rituel annuel : une réunion, un document, une validation. Le processus est remplacé par une cérémonie. La cérémonie rassure, mais elle ne pilote pas.
Ces cinq méthodes se combinent, se renforcent, et produisent un résultat cohérent : une organisation qui a l’apparence de la conformité, sans en avoir la substance.
La fragmentation des dispositifs
Le contournement consiste à fragmenter les référentiels.
Un dispositif pour la conformité. Un pour le risque. Un pour le contrôle interne. Un pour l’audit. Un pour la qualité. Chacun est conforme à son référentiel. Aucun ne parle à l’autre. L’organisation a la conformité, mais elle a perdu la cohérence que les référentiels, ensemble, demandent.
Cette fragmentation est visible dans l’empilement des comités, des indicateurs, des reportings. Chaque dispositif produit ses propres documents, ses propres réunions, ses propres validations. Les acteurs passent d’un dispositif à l’autre sans jamais voir l’ensemble. Et l’ensemble, précisément, est ce que les référentiels demandent de voir.
La fragmentation est rationnelle du point de vue de l’organisation. Chaque dispositif répond à une exigence. Chaque dispositif est conforme. Mais aucun dispositif n’est conçu pour dialoguer avec les autres. Et la cohérence, qui était l’intention des référentiels, se perd dans la multiplication des conformités.
La rationalité limitée
Le contournement peut être lu comme une faute, une paresse, ou une incompétence. Il est souvent, plus simplement, une adaptation rationnelle. Les acteurs font ce qu’ils peuvent avec les informations, les outils et les contraintes qu’ils ont.
Cette rationalité a un nom dans la littérature : la rationalité limitée. Formulée par Herbert Simon, elle décrit une situation où les acteurs ne cherchent pas la solution optimale, mais une solution satisfaisante, compte tenu des contraintes cognitives, informationnelles et temporelles . Ils ne peuvent pas tout savoir, tout anticiper, tout traiter. Ils font des choix qui sont rationnels dans les limites de ce qu’ils peuvent faire.
Ces limites ne sont pas abstraites. Elles sont définies par le cadre dans lequel l’entreprise fonctionne. Cinq limites structurent ce cadre.
1. Le cadre de fonctionnement de l’entreprise. Les processus, les procédures, les comités, les circuits de décision. Ce cadre définit ce qui est possible, ce qui est attendu, ce qui est évalué. Les acteurs s’y conforment, parce que c’est le cadre qui rend leur action légitime.
2. La nature du conseil des cabinets. Les cabinets fournissent des livrables standardisés, des méthodes éprouvées, des benchmarks. Ces livrables sont utiles, mais ils sont conçus pour être applicables à tous les clients. Ils ne peuvent pas traiter les spécificités de chaque organisation. Les acteurs s’appuient sur ces livrables parce qu’ils sont disponibles, reconnus, et vérifiables.
3. L’exigence de vérification indépendante. L’audit, la certification, le contrôle externe exigent des preuves documentées, des dispositifs formels, des traces vérifiables. Les acteurs produisent ces preuves, parce que c’est ce qui est exigé. Ils produisent ce qui peut être vérifié.
4. L’écart entre ce qui est mesuré et ce qui ne l’est pas. Les indicateurs mesurent ce qui est mesurable. Ils ne mesurent pas ce qui ne l’est pas : la qualité d’une relation, la résilience d’un système, la capacité d’innovation. Les acteurs se concentrent sur ce qui est mesuré, parce que c’est ce qui est évalué. Ce qui n’est pas mesuré n’entre pas dans leur champ d’action.
5. La capacité à s’arrêter où le système le permet. Chaque système a des failles. Les acteurs les connaissent, et ils savent jusqu’où ils peuvent aller sans les combler. Ils s’arrêtent là où le système le permet, parce que combler les failles exigerait un effort disproportionné, ou une remise en cause du cadre.
Ces cinq limites sont des contraintes du contexte. Elles définissent ce que les acteurs peuvent faire, et ce qu’ils ne peuvent pas faire. Et c’est dans cet espace, entre ce qui est possible et ce qui est exigé, que le contournement se produit.
La démarche qui produit le contournement est rationnelle. Elle est documentée, vérifiable, argumentée. Mais elle s’exerce dans un contexte qui n’est pas celui de la conception. Le référentiel est pensé dans un contexte idéal : des acteurs informés, des outils disponibles, du temps pour analyser. L’application se fait dans un contexte réel : des acteurs débordés, des outils imparfaits, des délais courts. Les deux démarches sont rationnelles. Elles ne produisent pas les mêmes résultats.
Le principe de l’agence
Le contournement est le produit d’une divergence d’intérêts, que la théorie de l’agence a nommée .
Le principe de l’agence est un cadre théorique issu de l’économie et de la finance. Il décrit la relation entre un mandant, qui confie une mission, et un mandataire, qui l’exécute. Le mandant ne peut pas observer tout ce que fait le mandataire. Il ne peut pas vérifier que le mandataire agit dans son intérêt. Cette asymétrie d’information crée un risque : le mandataire peut poursuivre ses propres intérêts, au détriment de ceux du mandant.
Pour réduire ce risque, le mandant utilise des mécanismes de contrôle : des objectifs, des indicateurs, des incitations, des sanctions. Ces mécanismes sont censés aligner les intérêts du mandataire sur ceux du mandant. Mais ils produisent eux-mêmes des effets : ils orientent l’attention du mandataire vers ce qui est mesuré, et détournent son attention de ce qui ne l’est pas.
Ce cadre théorique est rarement identifié comme tel dans les entreprises. Les acteurs le vivent, mais ne le nomment pas. Ils constatent des objectifs, des indicateurs, des contrôles, sans voir qu’ils forment un système. Nommer ce système, c’est déjà commencer à le comprendre.
Appliqué aux dirigeants, cela donne ceci. Le dirigeant est évalué sur des résultats visibles, à court terme, souvent indexés sur des indicateurs financiers. Il a donc intérêt à démontrer la conformité, plutôt qu’à produire la maîtrise. La démonstration est visible, mesurable, présentable au conseil. La maîtrise est invisible, lente, et ne se mesure pas dans un rapport trimestriel.
Le dirigeant n’a pas besoin de comprendre le référentiel. Il a besoin de produire un dossier qui satisfait le conseil, l’auditeur, le régulateur. Le cabinet fournit ce dossier. Le référentiel est invoqué comme label, pas comme méthode. Et l’empilement des dispositifs est la conséquence directe : chaque dispositif répond à une exigence, aucun ne répond à la question de la cohérence d’ensemble.
Le déplacement du mécanisme
Le mécanisme ne date pas d’aujourd’hui. Il s’est déplacé au fil des évolutions du cadre.
Il est passé par la conformité fiscale et comptable. Elle a produit des dispositifs de contrôle, des normes, des audits. Elle n’a pas empêché les fraudes, ni les optimisations fiscales.
Il est passé par la conformité financière. Elle a produit SOX, le contrôle interne, les certifications. Elle n’a pas empêché les crises financières, ni les scandales.
Il est passé par la conformité sociétale. Elle produit la CSRD, le reporting extra-financier, les indicateurs ESG. Elle produira des dossiers qui démontrent la conformité.
Il passera par la conformité de rentabilité et de performance. Elle produira des indicateurs, des benchmarks, des comparaisons. Elle produira des dossiers qui démontrent que l’entreprise est performante selon les indicateurs choisis.
Chaque étape a produit les mêmes effets : une conformité apparente, une maîtrise réelle en retrait, et une destruction différée de la valeur. Le mécanisme ne change pas. Il se déplace. Et la parade à toute évolution du cadre déplacera le mécanisme, sans en changer la nature.
Le coût pour l’actionnaire
Le contournement a un coût pour l’actionnaire.
L’actionnaire utilise le seul modèle à sa disposition pour contrôler le dirigeant : le principe de l’agence. Il fixe des objectifs, il indexe la rémunération, il exige des preuves. Ce faisant, il crée les conditions du contournement. Le dirigeant démontre la conformité au lieu de produire la maîtrise, parce que c’est ce qui est mesuré. Et la maîtrise perdue finit par produire ce que l’actionnaire redoutait : une moindre rentabilité, une moindre résilience, une moindre capacité à créer de la valeur sur la durée.
Le lien n’est pas direct. Il est différé, médiatisé, souvent attribué à d’autres causes. Une entreprise qui a une conformité de façade ne perd pas de rentabilité le trimestre suivant. Elle perd de la capacité d’innovation, de réaction, de décision. Et ces pertes se manifestent des années plus tard, sous forme de crise, de retard stratégique, ou d’érosion lente.
Les données sont disponibles. Les opérations de croissance externe, qui sont l’expression la plus visible des plans stratégiques, détruisent souvent de la valeur pour l’acquéreur. Une analyse de milliers d’opérations réalisées par des entreprises du S&P 500 sur un quart de siècle révèle que 46 % des fusions-acquisitions sont finalement défaites, avec un délai moyen de dix ans . Environ 50 % des opérations défaites n’ont pas créé de valeur actionnariale . KPMG mesure que 57,2 % des acquéreurs ont détruit de la valeur actionnariale sur la période 2012-2022 . PwC mesure que 14 % seulement des opérations atteignent un succès significatif . Bain & Company mesure que 30 % seulement des acquisitions stratégiques atteignent ou dépassent leurs objectifs financiers internes .-4-5–
Les cabinets diffusent les mêmes matrices à tous leurs clients, indépendamment de leur contexte. Et l’actionnaire, qui a utilisé le seul modèle à sa disposition pour contrôler le dirigeant, obtient ce qu’il redoutait : la destruction de la valeur qu’il cherchait à protéger.
Le mandat et la faute externe
Le mécanisme s’appuie sur la temporalité du mandat.
Un mandat de dirigeant dure trois à cinq ans. À l’échéance, le dirigeant présente un bilan. Ce bilan est construit avec les outils de la conformité : des indicateurs, des dossiers, des rapports. Il est positif, parce que les indicateurs ont été choisis pour l’être.
Ce que le bilan ne dit pas, c’est ce qui a été détruit pendant le mandat. La capacité d’innovation, la résilience, la maîtrise réelle. Ces éléments ne figurent pas dans les indicateurs. Ils ne sont pas mesurables à l’échelle d’un mandat. Ils se manifestent des années plus tard, quand un autre dirigeant est en poste.
Et si l’échec se manifeste pendant le mandat, il est attribué à des causes externes : la concurrence, le marché, la guerre économique, les barrières douanières, les conflits sociaux, le changement climatique. Ces causes sont réelles. Elles servent de récit explicatif qui protège le dirigeant. Le bilan reste positif, parce que la faute est ailleurs.
Le mécanisme est auto-entretenu. Le dirigeant n’a pas de comptes à rendre sur le mandat précédent, et son bilan sera positif grâce à la conformité. L’échec, lui, sera attribué à des causes externes. Et le mandat suivant recommencera avec les mêmes outils, les mêmes indicateurs, et les mêmes récits.
L’État comme partie prenante
Le mécanisme s’applique de la même manière aux actionnaires privés et aux États. Il repose sur les mêmes référentiels et sur les mêmes cabinets.
L’État est partie prenante, avec trois casquettes. Il aide les entreprises stratégiques, par des aides publiques rigoureusement cadrées par le droit européen. Il régule le marché, via les autorités indépendantes et la Commission. Il contrôle l’usage des aides, via la Cour des comptes, l’IGF et les inspections.
La séparation des pouvoirs est établie et patente. L’État qui aide, l’État qui régule et l’État qui contrôle sont institutionnellement distincts.
Mais cette configuration produit un effet. Les entreprises qui reçoivent des aides doivent démontrer qu’elles respectent le cadre. Cette démonstration mobilise les mêmes dispositifs que ceux décrits dans cet article : des dossiers, des indicateurs, des rapports, des preuves de conformité.
Le référentiel fixe le cadre. L’application produit les dossiers. L’effet est que les entreprises qui dépendent de ces soutiens rendent des comptes sur un plan sociétal et politique, en plus du plan financier. Trois casquettes séparées, un même acteur, et des comptes à rendre aux trois.
La spécificité de l’État est que le choix du dirigeant est soumis à validation. Cette spécificité ne change pas le mécanisme. Elle le renforce : le dirigeant sait qu’il sera jugé sur ce que l’État peut voir, et sa reconduction dépend de sa capacité à démontrer. Le principe de l’agence opère donc deux fois pour l’État : par les objectifs, comme pour l’actionnaire privé, et par la nomination.
Ce que cela produit
Le contournement produit un résultat paradoxal. L’organisation a l’apparence de la conformité, mais elle n’a pas la maîtrise. Elle a des documents, des indicateurs, des comités, des rapports. Elle n’a pas de compréhension, de vigilance, de capacité à réagir.
Et c’est précisément dans les moments où la maîtrise serait nécessaire — une crise, une rupture, un black swan — que le contournement se révèle. Les documents sont là. Les indicateurs sont verts. Les comités se réunissent. Ce qu’ils disent, ce qu’ils voient, ce qu’ils décident : c’est là que la maîtrise se joue, et c’est là qu’elle est mise à l’épreuve.
Le contournement n’est pas visible dans le fonctionnement normal. Il devient visible dans l’échec.
Un inventaire, pas une conclusion
Ce qui est décrit ici n’est pas exhaustif. C’est une vision globale, qui nécessite d’être approfondie.
Le principe de l’agence, le déplacement du mécanisme, la fragmentation des dispositifs, la temporalité du mandat, le coût pour l’actionnaire : chacun de ces éléments mériterait un développement à part entière. Chacun pourrait être documenté par des études, illustré par des cas, discuté par des praticiens.
Cet article propose un cadre de description. Il ne prétend pas clore le sujet. Il prétend l’ouvrir, en nommant ce qui est vécu et rarement formulé. Et il laisse à d’autres le soin d’approfondir, de contester, de compléter.
Un inventaire n’est pas une conclusion. C’est un point de départ.
Questions fréquentes
Qu’est-ce qu’un référentiel ?
C’est un cadre de référence qui définit des principes, des processus, ou des exigences. L’ISO 31000, le COSO, le Cadre de référence de l’AMF sont des référentiels. Ils sont écrits avec une intention : aider les organisations à comprendre et à traiter l’incertitude.
Qu’est-ce qu’une méthode de contournement ?
C’est une pratique qui permet à une organisation de produire l’apparence de la conformité sans en produire la substance. Elle réduit l’exigence du référentiel à un livrable, à un indicateur, à un rituel.
Pourquoi les organisations contournent-elles les référentiels ?
Parce que le référentiel demande plus que ce que l’organisation peut fournir, parce que l’évaluation porte sur la forme, parce que le contournement protège l’organisation, et parce qu’il est validé par l’ensemble des acteurs de la chaîne.
Qu’est-ce que la rationalité limitée ?
C’est un concept formulé par Herbert Simon. Il décrit une situation où les acteurs ne cherchent pas la solution optimale, mais une solution satisfaisante, compte tenu de leurs contraintes cognitives, informationnelles et temporelles. Ils font des choix qui sont rationnels dans les limites de ce qu’ils peuvent faire.
Qu’est-ce que la fragmentation des dispositifs ?
C’est la multiplication de dispositifs conformes à leur référentiel, mais qui ne dialoguent pas entre eux. Chaque dispositif répond à une exigence. Aucun ne répond à la question de la cohérence d’ensemble.
Qu’est-ce que le principe de l’agence ?
C’est un cadre théorique qui décrit la relation entre un mandant et un mandataire. Le mandant ne peut pas observer tout ce que fait le mandataire, ce qui crée un risque de divergence d’intérêts. Pour réduire ce risque, le mandant utilise des mécanismes de contrôle, qui orientent l’attention du mandataire vers ce qui est mesuré.
Le principe de l’agence est-il connu des acteurs de l’entreprise ?
Rarement. Les acteurs le vivent, mais ne le nomment pas. Ils constatent des objectifs, des indicateurs, des contrôles, sans voir qu’ils forment un système. Nommer ce système, c’est déjà commencer à le comprendre.
Comment le mécanisme se déplace-t-il ?
Il est passé par la conformité fiscale et comptable, puis par la conformité financière, puis par la conformité sociétale. Il passera par la conformité de rentabilité et de performance. Chaque étape produit les mêmes effets : une conformité apparente, une maîtrise réelle en retrait, une destruction différée de la valeur.
Quel est le coût pour l’actionnaire ?
L’actionnaire utilise le principe de l’agence pour contrôler le dirigeant. Ce faisant, il crée les conditions du contournement. Et la maîtrise perdue finit par produire une moindre rentabilité, une moindre résilience, une moindre capacité à créer de la valeur. Le lien est différé, souvent attribué à d’autres causes.
Comment le mandat entretient-il le mécanisme ?
Le dirigeant n’a pas de comptes à rendre sur le mandat précédent. Son bilan est positif grâce à la conformité. Et si l’échec se manifeste, il est attribué à des causes externes : la concurrence, le marché, la guerre économique, les conflits sociaux, le changement climatique. Ces causes sont réelles. Elles servent de récit explicatif qui protège le dirigeant.
L’État est-il concerné ?
Oui. Le mécanisme s’applique de la même manière aux actionnaires privés et aux États. L’État est partie prenante, avec trois casquettes : il aide, il régule, il contrôle. La séparation des pouvoirs est établie. Mais cette configuration produit un effet : les entreprises qui reçoivent des aides doivent démontrer qu’elles respectent le cadre.
Peut-on remédier au contournement ?
Pas facilement. Remédier au contournement supposerait que les organisations fassent ce que le référentiel demande, que les cabinets vendent autre chose que des livrables, que les auditeurs évaluent la substance, que les régulateurs vérifient la maîtrise. Personne n’a intérêt à ce que cela change.
Pour aller plus loin
-
La souffrance au travail : une analyse du système qui la produit — le diagramme de Venn et le produit non voulu.
-
Comment une entreprise en arrive-t-elle à lancer un plan de cost killing ? — la distinction entre maîtrise des coûts et cost killing.
-
La gestion des risques en entreprise — le cadre, le processus et les limites.
-
Le recensement des risques — la première étape du processus.
-
Les risques sans indicateur — ce que les tableaux de bord ne voient pas.
-
Le Guide du manager systémique — comprendre le système pour le piloter. À paraître.
Cet article vous a été utile ?
