La conformité se construit, elle ne s’achète pas
La plupart des organisations découvrent la conformité à la dure — comme un incendie à éteindre le jour où un distributeur, une place de marché ou une autorité réclame des preuves. Acheter un outil ne règle pas cela ; la conformité ne devient durable que lorsqu’elle est intégrée à la façon dont l’entreprise décide, recrute, structure ses données et travaille au quotidien. Ce document est un manuel pratique pour y parvenir.
Il suit la trajectoire de mise en œuvre que partagent les programmes qui réussissent — de la décision de la direction à l’exploitation quotidienne, en passant par l’analyse de rentabilité, les personnes et les données — et il s’appuie sur les référentiels reconnus du domaine : le modèle de système de management de la conformité de la norme ISO 37301 et le modèle des trois lignes de l’IIA pour la gouvernance. Vous y trouverez des modèles à reprendre et des gabarits à compléter.
Modèles et gabarits de ce document
- Modèles : la trajectoire de mise en œuvre · le modèle de gouvernance des trois lignes · le modèle de données de conformité · la boucle de conformité continue (PDCA) · un modèle de maturité · une matrice de priorisation.
- Gabarits : politique de conformité · analyse de rentabilité · matrice RACI · champs de données produits · demande de conformité fournisseur · feuille de route de mise en œuvre · tableau de bord d’indicateurs · registre de conformité.
La trajectoire de mise en œuvre
Les programmes de conformité qui durent traversent cinq étapes liées entre elles. Sautez-en une et les autres vacillent : un outil sans mandat est ignoré ; un mandat sans données n’a rien sur quoi agir ; des données sans rythme opérationnel se périment.
La trajectoire de mise en œuvre — cinq étapes liées, du mandat de la direction aux opérations quotidiennes.
La suite de ce document reprend chaque étape l’une après l’autre. Une remarque de vocabulaire : nous employons système de management de la conformité (SMC) au sens de la norme ISO 37301 — l’ensemble des politiques, rôles, données et processus par lesquels une organisation satisfait à ses obligations — et non au sens d’un logiciel particulier.
Étape 1 — La décision de la direction
La conformité commence au sommet, ou elle ne commence pas. Si la norme ISO 37301 place la gouvernance, le leadership et la culture au centre du système de management, ce n’est pas un hasard : sans mandat clair, sans appétence au risque énoncée et sans parrainage visible, le travail de conformité est toujours la tâche qui cède devant la prochaine échéance.
Ce que la direction doit décider
- Un mandat et un parrain. Désignez un dirigeant responsable de la conformité et donnez au programme une autorité et un budget explicites.
- L’appétence au risque. Énoncez clairement le niveau de risque de non-conformité que l’entreprise tolérera — par marché, par canal et par catégorie de produits.
- Une politique de conformité. Une déclaration courte, approuvée par l’organe de direction, couvrant l’engagement, le périmètre, les rôles et le reporting — la constitution à laquelle tout le reste se rattache.
Le modèle de gouvernance
Utilisez le modèle des trois lignes de l’IIA pour répartir les rôles. La première ligne (produit, achats et opérations) porte et gère la conformité dans le travail quotidien. La deuxième ligne (une fonction conformité ou qualité) définit la politique, les cadres de référence et la surveillance. La troisième ligne (l’audit interne) fournit une assurance indépendante. L’organe de direction se situe au-dessus des trois et rend compte aux parties prenantes ; les organismes externes — autorités, distributeurs et organismes notifiés — se situent à l’extérieur.
Gabarit — Politique de conformité (une page). Objet : pourquoi l’organisation s’engage en matière de conformité des produits. Périmètre : les produits, marques, marchés et canaux couverts. Engagement : la déclaration selon laquelle l’organisation satisfera à toutes les exigences européennes applicables aux produits et agira en cas de manquement. Rôles et responsabilités : parrain, responsable de la conformité, obligations des première, deuxième et troisième lignes (voir la matrice RACI). Appétence au risque : le niveau de risque toléré, par catégorie et par marché. Remontée et escalade : comment les problèmes sont signalés, à qui et dans quel délai. Revue : périodicité de la revue (par exemple annuelle) et événements déclencheurs. Approbation : approuvée par [organe de direction] le [date] ; responsable [nom].
Étape 2 — La décision économique
Une fois le mandat en place, la conformité devient une analyse de rentabilité comme une autre : délimitez-la, priorisez-la, choisissez comment lui affecter des moyens et définissez à quoi ressemble la réussite.
Priorisez là où cela compte
Vous ne pouvez pas tout faire en même temps. Classez produits et marchés selon l’exposition — en combinant le risque réglementaire et de rappel avec le chiffre d’affaires en jeu — et commencez là où les deux sont élevés.
| Chiffre d’affaires élevé | Chiffre d’affaires plus faible | |
|---|---|---|
| Risque élevé | À traiter en premier — c’est là qu’il y a le plus à perdre. Validez et documentez sans attendre. | À programmer ensuite — risque significatif, protégez de façon proactive. |
| Risque plus faible | Gains rapides — couverture facile, progrès visibles. | À surveiller — automatisez et revoyez périodiquement. |
Construire, acheter ou externaliser
Trois modèles d’allocation de moyens, le plus souvent combinés : construire une fonction interne (le contrôle, mais un recrutement lent et coûteux) ; acheter une plateforme qui automatise la classification, la validation et la documentation (rapide, extensible) ; ou externaliser auprès d’un service géré (la capacité sans les effectifs). La plupart des marques achètent la plateforme et y ajoutent un accompagnement géré là où le jugement est nécessaire.
| Champ (Analyse de rentabilité de la conformité) | Ce qu’il faut consigner |
|---|---|
| Objectif | Le résultat visé (par exemple : prêt pour la distribution sur les 3 principaux marchés en 90 jours). |
| Périmètre initial | Produits, marques, marchés et canaux couverts en premier. |
| Options examinées | Construire en interne · acheter une plateforme · externaliser (service géré). |
| Option recommandée | Le choix retenu et sa justification. |
| Budget | Coût initial et coût récurrent (investissement / exploitation). |
| Bénéfices attendus | Intégration plus rapide, moins de déréférencements et de rappels, prime de confiance. |
| Indicateurs de réussite | Voir le tableau de bord d’indicateurs. |
| Risques et hypothèses | Principaux risques et mesures d’atténuation. |
| Décision et responsable | Approuvée par [nom] le [date]. |
Étape 3 — Les personnes et les responsabilités
La conformité échoue en silence lorsque chacun suppose que quelqu’un d’autre s’en occupe. Rendez la responsabilité explicite, donnez aux équipes les compétences nécessaires et instaurez une culture où signaler un problème est valorisé, non sanctionné.
Attribuez la responsabilité avec une matrice RACI
Une matrice RACI associe chaque activité à celui qui la réalise (R), à celui qui en répond (A), à celui qui est consulté (C) et à celui qui est informé (I). Adaptez le gabarit ci-dessous à votre organisation — l’essentiel est que chaque ligne comporte un seul A.
| Activité | Parrain | Conformité | Équipe produit | Audit |
|---|---|---|---|---|
| Définir la politique et l’appétence au risque | A | R | I | I |
| Classer les produits au regard des règles | I | A | R | — |
| Valider au regard des exigences | I | A | R | — |
| Corriger les écarts | I | C | R | — |
| Produire la documentation | I | A | R | — |
| Désigner la personne responsable | A | R | C | I |
| Suivre l’évolution de la réglementation | I | A | C | I |
| Assurance indépendante | I | I | I | A/R |
R = Réalise · A = Autorité, rend compte · C = Consulté · I = Informé. Lorsque la capacité interne manque, une plateforme ou un service géré peut tenir le rôle R pendant que votre équipe conserve le A.
Compétences et culture
- Formez les équipes produit et achats aux fondamentaux : ce qu’est une déclaration UE de conformité, ce que fait une personne responsable, ce qui déclenche l’application d’une réglementation.
- Rendez le statut de conformité visible dans les outils que les équipes utilisent déjà, pour qu’il fasse partie du flux de travail — et non d’une corvée à part.
- Valorisez le signalement précoce des écarts. Une culture qui dissimule les problèmes est le plus grand risque qui pèse sur un système de conformité.
Étape 4 — Les données et les systèmes
La conformité est, au fond, un problème de données. On ne prouve pas ce qu’on ne sait pas décrire. Le socle est une source unique de vérité qui relie chaque produit aux marchés sur lesquels il est vendu, aux règles applicables, aux exigences qui en attestent et aux preuves qui les fondent.
Le modèle de données de conformité — un produit relié à ses marchés, aux règles, aux exigences, aux preuves, au fournisseur et à la personne responsable.
Mettez au propre les données produits
C’est sur la classification que la plupart des programmes s’enlisent. Consignez un ensemble cohérent de champs par produit, afin que le système puisse rapprocher chaque SKU des réglementations et des normes harmonisées applicables.
| Champ de données produit | Exemple / remarque |
|---|---|
| Identifiant produit / SKU | Identifiant interne |
| Nom de modèle et GTIN/EAN | Pour la traçabilité et l’étiquetage |
| Catégorie et code TARIC | Détermine les règles applicables |
| Marchés visés | Lesquels des 27 pays de l’UE |
| Composants et matériaux | Nomenclature |
| Substances | Pour le criblage REACH / RoHS |
| Fournisseur | Source des preuves en amont |
| Personne responsable | Opérateur économique établi dans l’UE |
| Réglementations applicables | Rapprochées automatiquement (GPSR, REACH, …) |
| Statut et preuves | % d’avancement ; liens vers la déclaration UE de conformité et les essais |
Envoyez une demande de conformité au fournisseur dès son intégration ; privilégiez les documents vérifiés par un tiers aux autodéclarations.
| Élément à demander au fournisseur | Obligatoire ? |
|---|---|
| Déclaration UE de conformité | Oui |
| Rapports d’essai (laboratoire accrédité) | Oui, selon le risque |
| Déclarations de matières (REACH/RoHS) | Oui |
| Nomenclature | Oui |
| Conformité aux normes harmonisées | Oui |
| Pays d’origine / données EUDR | Le cas échéant |
| Coordonnées de la personne responsable | Oui |
| Maquettes d’étiquetage et de marquage | Oui |
Étape 5 — Les opérations et la conformité continue
La conformité n’est pas un projet qui se termine ; c’est un rythme opérationnel. La norme ISO 37301 est bâtie sur le cycle Planifier-Faire-Vérifier-Agir, et un programme qui fonctionne exécute la même boucle en continu pour chaque produit.
La boucle de conformité continue — de l’entrée en portefeuille à la surveillance, alignée sur le cycle Planifier-Faire-Vérifier-Agir de l’ISO 37301.
Faites tourner la boucle
- Entrée et classification. Chaque produit nouveau ou modifié entre dans le système et est rapproché des règles applicables.
- Validation et correction. Contrôlez au regard des exigences, visualisez les écarts et comblez-les.
- Documentation. Produisez la déclaration UE de conformité, la documentation technique et un statut de conformité partageable — prêt avant même qu’un distributeur ne le demande.
- Surveillance. Suivez l’évolution de la réglementation et revalidez automatiquement, pour qu’une nouvelle exigence soit une alerte et non une urgence.
Tenez un registre de conformité vivant, afin que le statut soit auditable à tout moment.
| Produit | Marché | Réglementation | Statut | Responsable |
|---|---|---|---|---|
| Lampe de bureau (SKU-1042) | DE | LVD / RoHS / GPSR | Conforme | Produit |
| Veilleuse (SKU-3391) | FR | GPSR / EN 71 | Écart — étiquetage | Produit |
Préparez-vous au mauvais jour
Les opérations, c’est aussi la préparation : un processus défini pour un rappel ou une alerte Safety Gate, avec la personne responsable, la documentation et les mesures correctives déjà en place. Les marques qui survivent à un incident sont celles qui s’y étaient préparées avant qu’il ne survienne. (Voir le livre blanc complémentaire Comment gérer les rappels de produits dans l’UE.)
Sachez où vous en êtes
Avant de planifier, situez-vous. Le saut qui compte le plus est celui de « Conforme » à « Prêt pour la distribution » — le moment où la conformité cesse d’être un goulet d’étranglement pour devenir un outil de vente.
| Niveau | À quoi cela ressemble | Résultat |
|---|---|---|
| 1 · Réactif | Traité crise par crise ; tableurs et appels de dernière minute. | Référencements bloqués, coûts imprévus, exposition. |
| 2 · Conforme | Les produits respectent les règles, mais la preuve est manuelle et lente. | Survit aux audits ; la conformité est un goulet d’étranglement. |
| 3 · Prêt pour la distribution | Documentation complète et à jour par produit et par marché. | Intégration plus rapide, moins de blocages, réputation fiable. |
| 4 · En avantage | Continu, piloté par les données ; la transparence sert au marketing. | Rapidité de mise en rayon, prime de confiance, avance sur les nouvelles règles. |
La feuille de route
Une séquence pragmatique fait passer une marque du mode réactif à l’état prêt pour la distribution en un trimestre environ, puis dans l’amélioration continue. Adaptez le calendrier à votre taille et à votre catalogue.
| Phase | Calendrier | Objet | Livrable |
|---|---|---|---|
| 0 · Mobiliser | Semaines 0 à 2 | Mandat, parrain, politique, périmètre, appétence au risque. | Politique approuvée ; responsable désigné. |
| 1 · Fondations | Semaines 2 à 6 | Modèle de données, import produits, matrice RACI, demandes fournisseurs. | Source unique de vérité ; rôles attribués. |
| 2 · Mise en opération | Semaines 6 à 12 | Valider les produits prioritaires, combler les écarts, produire les documents. | Catalogue prioritaire prêt pour la distribution. |
| 3 · Optimiser | En continu | Suivre les évolutions, auditer, étendre la couverture, s’en servir à la vente. | Conformité continue ; indicateurs suivis. |
Mesurer la réussite
Ce qui se mesure se fait. Suivez un petit jeu d’indicateurs clés de performance (KPI) qui relient la conformité à l’activité.
| KPI | Définition | Cible |
|---|---|---|
| Couverture | Part du catalogue validée au regard des règles applicables. | 100 % → |
| Délai d’obtention de la documentation | Nombre moyen de jours pour produire un dossier prêt pour la distribution. | < 2 jours |
| Écarts ouverts | Nombre d’écarts d’exigences non résolus. | Tendance vers 0 |
| Taux de réussite aux audits | Part des produits qui passent un audit interne ou externe. | > 95 % |
| Rapidité de mise en rayon | Nombre moyen de jours entre la demande de l’acheteur et le référencement. | En baisse |
| Évolutions traitées | Évolutions réglementaires analysées dans le délai convenu. | 100 % |
Pièges et facteurs de réussite
À éviter
- Acheter un outil sans mandat, sans responsable et sans rythme opérationnel derrière lui.
- Vouloir couvrir tout le catalogue d’un coup au lieu de prioriser par le risque et le chiffre d’affaires.
- Traiter la documentation comme un exercice ponctuel plutôt que comme un registre vivant et surveillé.
À faire
- Commencer par le sommet, délimiter étroitement le périmètre et obtenir vite une première victoire « prêt pour la distribution ».
- Attribuer à une seule personne le A de chaque activité, et rendre le statut visible.
- Automatiser le travail répétitif pour que les équipes consacrent leur temps au jugement, non à l’administratif.
De l’obligation à la capacité
Mettre en œuvre une stratégie de conformité est un changement de mode de fonctionnement, non un achat. Décidez-la au sommet, construisez l’analyse de rentabilité, attribuez des responsabilités claires, bâtissez le socle de données et faites tourner la boucle. À ce prix, la conformité cesse d’être ce qui vous ralentit — et devient ce qui vous met en rayon, vous y maintient et transforme chaque nouvelle réglementation en une fonctionnalité que vous possédez déjà.
Comment Conphora vous aide
Conphora est la plateforme et le service géré qui sous-tendent ce manuel. Elle vous fournit le modèle de données de conformité prêt à l’emploi, valide votre catalogue au regard de 49 réglementations de l’UE dans 27 pays, fait tourner la boucle de conformité continue et produit la documentation et le statut partageable qu’exigent les distributeurs. Utilisez-la en autonomie, ou laissez notre équipe l’exploiter pour vous. Pour en savoir plus : conphora.com.
Sources et références
- ISO 37301:2021 — Systèmes de management de la conformité : exigences et recommandations pour la mise en œuvre (PDCA ; remplace l’ISO 19600:2014).
- The Institute of Internal Auditors — Le modèle des trois lignes (mise à jour 2020 des trois lignes de maîtrise).
- Règlement (UE) 2023/988 — Règlement relatif à la sécurité générale des produits (GPSR). EUR-Lex.
- Règlement (UE) 2024/1781 — Règlement sur l’écoconception des produits durables (ESPR) et passeport numérique de produit. EUR-Lex.
- Commission européenne — Système d’alerte rapide Safety Gate (rapport annuel).
Ce livre blanc fournit des informations générales et ne constitue pas un conseil juridique. Les référentiels y sont résumés ; consultez les normes et réglementations de référence avant toute mise en œuvre. © 2026 Conphora.