AKD première en Croatie avec la certification ISO 37301 et un nouveau standard de suivi de la conformité dans les entreprises publiques

AKD première en Croatie avec la certification ISO 37301 : la conformité comme nouvelle mesure de responsabilité des entreprises publiques

L’Agence pour l’activité commerciale (AKD) a annoncé le 26 février 2026 qu’elle avait achevé l’audit de certification selon la norme internationale ISO 37301 – Compliance Management System (CMS) et qu’elle est la première organisation en Croatie à avoir obtenu la certification selon cette norme.
Selon le communiqué de l’entreprise, il s’agit d’un projet stratégique commencé en septembre 2024 et orienté vers le renforcement de la gouvernance d’entreprise, de l’intégrité et de la transparence des activités, avec un message clair : le système de conformité ne se réduit pas à une forme, mais à des processus mesurables. AKD souligne qu’en mettant en place un système de management de la conformité, elle a également rempli l’obligation légale d’introduire une fonction de suivi de la conformité, qui, dans le nouveau cadre de gestion des actifs de l’État, a obtenu le statut de contrôle interne obligatoire. En pratique, cela signifie que l’on attend une capacité de preuve : comment les obligations sont identifiées, comment les risques sont mesurés, qui est responsable de l’action et de quelle manière les écarts sont gérés. Dans les entreprises publiques, ce sujet est particulièrement sensible, car les manquements ne se terminent pas seulement par un coût dans le bilan, mais deviennent souvent une question de confiance du public, de responsabilité politique et de durabilité des services publics essentiels. L’obtention du certificat peut donc se lire comme une tentative de faire de la conformité une partie de la gestion quotidienne, et non une réaction après les problèmes.

Qu’est-ce que l’ISO 37301 et pourquoi elle est importante pour les organisations opérant dans l’intérêt public

ISO 37301 est une norme internationale qui fixe des exigences et fournit des lignes directrices pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de la conformité dans des organisations de profils différents, du privé au public et au non lucratif. Son objectif est de construire un cadre permettant à l’organisation d’identifier et de gérer les obligations de conformité : des lois et actes réglementaires, aux exigences des régulateurs, jusqu’aux politiques internes, standards éthiques et obligations contractuelles envers les partenaires. La norme exige plus que des déclarations générales de « tolérance zéro » : elle exige des processus démontrables d’évaluation des risques, d’adoption et de mise en œuvre des politiques, de formation des employés, de reporting à la direction et aux organes de supervision, ainsi que des mesures correctives lorsque des irrégularités sont constatées. Dans un environnement où le risque réputationnel et les attentes du public sont élevés, un tel cadre aide l’organisation à montrer qu’elle travaille « selon les règles » même lorsque les processus sont complexes et que les responsabilités sont réparties entre plusieurs niveaux de gouvernance. La valeur ajoutée est aussi la comparabilité : les normes ISO créent un langage commun qui facilite la communication avec les auditeurs externes, les régulateurs, les banques, les fournisseurs et les partenaires internationaux. Pour le secteur public et les entreprises publiques, c’est particulièrement important, car on attend d’elles qu’elles protègent simultanément l’intérêt public, maintiennent la discipline de marché et évitent des situations où la non-conformité devient un risque systémique.

Loi, lignes directrices et règlement : comment l’État standardise la fonction de suivi de la conformité

La base légale de la fonction de suivi de la conformité a été renforcée par l’adoption de la Loi sur les personnes morales appartenant à la République de Croatie, publiée dans les « Narodne novine », entrée en vigueur le 1 octobre 2025 et qui, dans le chapitre relatif au contrôle interne, prescrit explicitement l’obligation d’organiser une fonction de suivi de la conformité. La loi définit que cette fonction couvre les tâches d’alignement du fonctionnement et des activités de la personne morale sur les réglementations en vigueur et les actes généraux, avec des tâches supplémentaires qui doivent être réglées par un règlement du ministre des Finances, ce qui ouvre l’espace à des standards plus détaillés sur l’indépendance, le reporting et l’étendue du travail. Les dispositions transitoires prévoient que, jusqu’à l’adoption du règlement, la décision du gouvernement de 2019 sur l’obligation d’introduire une fonction de suivi de la conformité des activités dans les personnes morales à majorité publique reste en vigueur, ce qui montre la continuité de la politique : l’obligation existe depuis des années, mais elle passe désormais du niveau d’une décision au niveau d’une loi. Le ministère des Finances a publié en juin 2024 des lignes directrices étendues pour organiser cette fonction, en soulignant les principes de proportionnalité, d’indépendance et de permanence ainsi que la nécessité d’une gestion systématique du risque de conformité via la prévention, les alertes et les contrôles. En parallèle, un projet de règlement a été publié dans l’e-Consultation, qui devrait opérationnaliser la disposition légale et harmoniser la pratique dans les personnes morales appartenant à l’État, y compris des règles sur l’organisation, le périmètre et la manière de rendre compte. Dans ce cadre, la certification selon ISO 37301 devient importante, car elle donne à l’entreprise une méthodologie et une vérification externe, tout en facilitant la démonstration qu’elle répond aux attentes des réglementations nationales.

Pourquoi AKD est au centre : statut « d’intérêt particulier » et activités sensibles

AKD est citée dans la décision en vigueur sur les personnes morales d’intérêt particulier pour la République de Croatie parmi les entités auxquelles l’État accorde une importance particulière, ce qui implique un niveau plus élevé d’attentes en matière de gestion, de supervision et de responsabilité publique. La motivation de la décision indique qu’il s’agit d’une société détenue à 100 % par la République de Croatie, avec des activités liées à la fourniture de services aux organismes de l’administration publique, à la production de documents officiels et à la sécurité informatique. Le contenu de la décision décrit en outre l’étendue des activités : AKD produit et personnalise des cartes d’identité, passeports, visas, permis de conduire, titres de séjour et autres imprimés sécurisés, et participe à des activités liées aux certificats et aux services de confiance qualifiés. Lorsque l’activité est liée à l’identité, aux documents et à des processus sensibles en matière de sécurité, la conformité prend aussi une dimension sécuritaire : l’accès contrôlé, la traçabilité, la fiabilité des fournisseurs, la protection des données et l’intégrité des systèmes informatiques qui soutiennent l’émission et l’utilisation des documents sont essentiels. Dans un tel environnement, le système de management de la conformité n’est pas seulement un « sujet juridique », mais aussi une discipline organisationnelle qui relie la direction, le conseil de surveillance, l’IT, les achats, la sécurité et les équipes opérationnelles. La certification ISO 37301 peut donc aussi être vue comme un instrument de renforcement des contrôles internes dans un domaine que le public ne voit souvent que lorsqu’un incident survient ou lorsque les institutions réagissent à des irrégularités.

Ce que l’audit de certification a pu exiger : éléments clés d’un CMS efficace

AKD indique dans son communiqué que la certification confirme l’existence de tous les éléments clés d’un système de management de la conformité efficace : de l’identification et la gestion des risques de conformité, en passant par des politiques et procédures claires, jusqu’à un système de formation, de reporting et d’amélioration continue. En pratique, de tels éléments signifient que l’organisation doit disposer d’une vue d’ensemble des obligations et des risques, mais aussi d’une traçabilité des actions : évaluations documentées, registres de formation, procédures de signalement d’irrégularités et mécanismes clairs de mesures correctives. Dans les systèmes de management de la conformité, on examine particulièrement comment on évite une conformité « sur le papier », c’est-à-dire comment on s’assure que les employés comprennent les règles et que les écarts sont détectés avant de devenir un problème. Les lignes directrices du ministère des Finances soulignent que l’objectif de la fonction de suivi de la conformité est de réduire les risques d’amendes, de procédures judiciaires et de dommages réputationnels grâce à un système efficace de constatation, de gestion, d’alerte, de prévention et de contrôles, ce qui est très proche de la logique ISO 37301. AKD a en outre mis en avant l’alignement sur des lignes directrices internationales : le directeur général Jure Sertić a indiqué que le système est aligné « sur les standards et lignes directrices internationaux les plus élevés », en citant les recommandations de l’OCDE et le règlement à venir du ministère des Finances. En pratique, une telle déclaration signifie que l’entreprise cherche à se placer au-dessus du minimum légal et à se concentrer sur des standards reconnus au-delà du cadre national, ce qui est un signal important tant pour les partenaires que pour le public.

• Gestion du risque de conformité : cartographie des obligations, évaluation des risques et définition de contrôles pour des domaines tels que les achats, la contractualisation, les conflits d’intérêts et la protection des données.
• Politiques et procédures : règles, responsabilités et protocoles clairs pour la prise de décision, avec des mécanismes d’approbation et de suivi de la mise en œuvre.
• Formations et communication : plans de formation et de conseil des employés, avec vérification de la compréhension et documentation de la participation.
• Signalement des irrégularités et traitement : canaux de signalement, protection des lanceurs d’alerte, traitement des signalements et mise en place de mesures correctives.
• Reporting et supervision : rapports réguliers à la direction et aux organes de supervision ainsi que des indicateurs d’efficacité, afin que le système soit un outil de pilotage et non une formalité.

Lignes directrices de l’OCDE et contexte international : l’intégrité comme condition d’une gouvernance moderne

L’OCDE a publié en 2024 des Lignes directrices révisées sur la gouvernance d’entreprise des entreprises appartenant à l’État, qui servent de cadre de référence international pour professionnaliser la fonction de propriétaire, rendre les objectifs transparents et renforcer l’intégrité dans les entreprises publiques. Les lignes directrices soulignent notamment la séparation du rôle de l’État en tant que propriétaire de son rôle de régulateur, des objectifs et responsabilités clairs, ainsi que des systèmes robustes de contrôles internes qui réduisent l’espace pour les irrégularités, les abus et l’influence politique non fondée sur des critères expliqués publiquement. Dans le contexte croate, le lien entre ISO 37301 et les attentes de l’OCDE est clair : l’ISO fournit un système auditables, tandis que l’OCDE demande une maturité institutionnelle et une comparabilité des standards de gouvernance entre les États. Lorsqu’une entreprise publique met en place un système de conformité vérifiable par certification, elle envoie un signal de volonté de contrôle externe et de culture de gestion fondée sur des preuves, et non sur des interprétations ad hoc. Cela ne signifie pas qu’un certificat garantit automatiquement l’absence d’irrégularités, mais qu’il existe une structure qui facilite la détection, la documentation et la correction des manquements. C’est précisément pourquoi, dans le secteur public, on insiste de plus en plus sur la discipline du système : vérifications périodiques, amélioration continue et mesure de l’efficacité des contrôles.

Message plus large aux autres entreprises publiques : de l’obligation légale à une pratique fonctionnelle

AKD indique que, par cette avancée, elle se positionne comme un chef de file des bonnes pratiques et un point de référence pour d’autres entreprises concernant la mise en place de systèmes de conformité, le renforcement de l’intégrité et une gouvernance transparente et responsable. Dans les mois suivant l’entrée en vigueur de la loi, la pression sur la documentation et la mesurabilité des contrôles internes augmentera probablement, surtout lorsque les actes d’application détaillant la fonction de suivi de la conformité seront adoptés. Les directions devront décider où la fonction conformité se situe dans l’organisation, à qui elle rend compte, quelles ressources elle possède et comment prévenir les conflits d’intérêts dans des domaines à forte exposition comme les marchés publics, la gestion des contrats ou des systèmes IT critiques pour la sécurité. Les lignes directrices du ministère des Finances laissent de la place au principe de proportionnalité, mais exigent en même temps que chaque personne morale puisse expliquer de manière convaincante pourquoi elle a choisi précisément ce modèle et comment elle garantit l’indépendance et l’efficacité. En outre, le projet de règlement prévoit l’application à certaines filiales, ce qui pose la question de la manière dont les standards de conformité « se diffusent » au sein des groupes détenus par l’État et de la manière de garantir que les filiales ne restent pas le maillon faible. Dans ce cadre, la certification ISO 37301 peut être un outil qui accélère l’harmonisation des pratiques, mais aussi un repère permettant de comparer plus facilement les progrès.

Et après : mise en œuvre, supervision et efficacité réelle du système

Pour AKD, la certification ISO 37301 peut avoir plus de conséquences qu’un bénéfice réputationnel : en tant qu’entreprise travaillant avec des documents, l’identité et des solutions IT, elle est exposée aux attentes de différents régulateurs et partenaires contractuels, et un système de management de la conformité peut aider à harmoniser ces exigences dans un cadre unique. En outre, la certification implique le maintien du système, des vérifications périodiques et une capacité d’ajustement, ce qui est essentiel pour éviter que le standard ne devienne un « projet ponctuel ». Pour le système des entreprises publiques, le tableau d’ensemble est clair : après le 1 octobre 2025, les lignes directrices de 2024 et la préparation du règlement, on s’attend à un accent accru sur la démonstrabilité de la gouvernance et sur le rôle de la fonction de suivi de la conformité comme deuxième ligne de défense dans le système de contrôles. En même temps, la question reste ouverte quant à la dynamique d’adoption et de mise en œuvre des actes d’application et à la manière de superviser leur application, ce qui décidera en pratique si les standards seront harmonisés ou resteront inégaux entre les entreprises. Dans tous les cas, la direction est posée : la conformité est de moins en moins considérée comme une formalité administrative et de plus en plus comme un système qui doit pouvoir résister à la supervision, à l’audit et au contrôle public.

Sources :
- AKD – communiqué officiel sur la certification ISO 37301 ( akd.hr )
- Narodne novine – Loi sur les personnes morales appartenant à la République de Croatie (entre en vigueur le 1 octobre 2025 ; art. 52 sur la fonction de suivi de la conformité) ( narodne-novine.nn.hr )
- Ministère des Finances de la République de Croatie – Lignes directrices pour la fonction de suivi de la conformité des activités dans les personnes morales majoritairement détenues par la République de Croatie (juin 2024.) ( mfin.gov.hr )
- Ministère des Finances de la République de Croatie – Décision sur les personnes morales d’intérêt particulier pour la République de Croatie (la liste inclut AKD et l’explication des activités) ( mfin.gov.hr )
- OCDE – OECD Guidelines on Corporate Governance of State-Owned Enterprises (édition révisée 2024.) ( oecd.org )
- ISO – ISO 37301:2021 Compliance management systems — Requirements with guidance for use (description de la norme) ( iso.org )
- e-Consultations – Projet de règlement sur la fonction de suivi de la conformité dans les personnes morales appartenant à la République de Croatie (texte du projet) ( esavjetovanja.gov.hr )