🧱Co-organisation du Colloque 🧮La Vigilance, pointe avancée de l'Obligation de Compliance

La Vigilance,

pointe avancée

de l'Obligation de Compliance

sous la direction scientifique de

Marie-Anne Frison-Roche, Mustapha Mekki et Jean-Christophe Roda

Mardi 5 décembre 2023, Paris

Université Paris 1 Panthéon-Sorbonne

Salle 6, 12 place du Panthéon, 75005 Paris

9h-9h30. Accueil

9h30-10h30. Articulation systémique entre Vigilance, Due diligence, conformité et Compliance, par Marie-Anne Frison-Roche, professeure de Droit de la Régulation et de la Compliance, directrice du Journal of Regulation & Compliance (JoRC)

• J'ai consacré l'introduction de la journée de colloque à exposer la méthode que nous avions retenue ensemble, c'est-à-dire chercher à définir les termes, puisque le droit est affaire de qualification et c'est ce à quoi s'emploient les juges et les législateurs actuellement en matière de vigilance.
• Après avoir préalablement décrit ce qu'est une "pointe avancée", c'est-à-dire ce qui donne plus de visibilité un système plus vaste, ce qui justifie donc un esprit de système et implique une méthode de réalisation du Droit qui est ici de nature téléologique, puisque le Droit de la Complique puise sa normativité dans les buts monumentaux, ce dont la technique de vigilance donne un exemple éclatant à travers le souci de l'environnement et des droits subjectifs,
• j'ai pris soin de distinguer la conformité, qui est un "outil de compliance" parmi d'autres du Droit de la Compliance, dont chacun observe désormais l'émergence comme branche du Droit, donnant lieu à des causes Systémiques,
• puis, indiquant que je serai certainement éclairée par les interventions sur ces points, car ces notions sont parfois confondues, j'ai insisté sur le fait que la Vigilance se distinguait de la notion anglaise de due diligence et plus encore du duty of Care, ce dernier relevant de perspectives soit propre à des branches du Droit (obligation des administrateurs), soit propre à des activités (obligations d'opérateurs du secteur pharmaceutique, par exemple).
• L'essentiel en effet est de ne pas confondre ce qui est spécifique à une loi spéciale, notamment la loi de 2017, dite "Vigilance", d'autres lois qui imposent d'une autre façon des obligations de vigilance, et ce qui pourrait être une obligation générale de Vigilance de prendre en charge l'intérêt d'autrui, ou une obligation générale de ne pas nuire à autrui (laquelle ne m'apparaît pas dans le Droit positif applicable, la soft law internationale n'étant qu'une source d'inspiration et pas une source de droit directement applicable).
• Mais j'allais écouter ce qui serait exposé par les uns et les autres.
• Et c'est pourquoi mon introduction s'est terminée par une interrogation, à savoir la question de savoir si la Vigilance ne serait pas la "part totale" du système de Compliance.
• 🌐consulter les 🪧slides sur lesquelles je me suis appuyée

I. LES INTENSITÉS DE L'OBLIGATION DE VIGILANCE, POINTE AVANCÉE DU SYSTÈME DE COMPLIANCE 

10h30-11h. L’intensité de l’Obligation de Vigilance selon les secteurs : le cas des opérateurs financiers, par Anne-Claire Rouaud, professeure à l'Université Paris 1 Panthéon-Sorbonne

• Dans cette première partie, Anne-Claire Rouaud développe le cas des opérateurs financiers
• Elle montre que si ceux-ci sont soumis à des très lourdes obligations de vigilance, c'est avant tout en raison des risques systémiques des marchés, obligations consubstantielles à leurs activités, car ces opérateurs étant souvent en charge des infrastructures de marché ou opérant des prestations, qui les font tous appartenir à la catégorie des professions réglementées.
• Malgré cette unicité, la manifestation de l'obligation de vigilante est protéiforme, allant de la police, de la surveillance du client, à sa mise en garde, sa protection, laquelle peut être très réduite, la lutte contre le blanchiment visant à protéger le système (kyc).
• Cette obligation de vigilance poursuit des finalités variables, ce qui explique des sanctions diverses car l'intensité de l'obligation varie aussi. La lutte contre le risque systémique est certes une finalité commune mais s'y ajoutent des soucis de protéger des catégories, par exemple d'investisseurs (perspective plus européenne).
• L'intérêt général est pourtant aujourd'hui renouvelé car, constitué par la protection des marchés, il se double du souci de durabilité.
• Cela se traduit par une variabilité des sanctions, allant des sanctions disciplinaires, maniées par l'Autorité des marchés financiers (AMF), l'obligation de mettre en place des programmes de compliance par rapport auxquels les manquements sont sanctionnés per se.
• Le private enforcement se développe en articulation avec le public enforcement, avec une transformation du risque contentieux pour les entreprises, très sensible à l'extraterritorialité et à la portée du Droit souple.

11h-11h30. L’intensité de l’Obligation de Vigilance selon les secteurs : le cas des opérateurs bancaires et d’assurance, par Mathieu Françon, avocat au Barreau des Hauts-de-Seine, of counsel au cabinet CMS Francis Lefevre

• Dans cette première partie, Mathieu Françon développe le cas des opérateurs bancaire et d'assurance.
• Il insiste sur le fait qu'en matière bancaire et d'assurance, la vigilance consiste dans une obligation de traiter des informations, au besoin préalablement collectées, en vue de prévenir la survenance d'un risque.
• L'identification et la prévention du risque est une obligation de moyens renforcée qui, dans ce cadre, connait des variations d'intensité. L'obligation est ancienne, alors que le devoir de vigilance est récent, parce que la vigilance obligée est consubstantielle à l'activité même du banquier et de l'assureur et du fait du caractère systémique du secteur et depuis toujours, droits dur et souple s'imbriquent.
• Les variations de l'intensité de l'obligation de vigilance tiennent au fait qu'il y a deux types d'obligations : celles qui sont imposées dans l'intérêt de l'activité et du client, et celles qui le sont dans l'intérêt de la stabilité du système. Les secondes sont beaucoup plus fortes que les premières et pèsent aussi bien sur le banquier que sur le client et les obligations en matière de blanchiment ont pour seul but l'intérêt général, le client ne pouvant se prévaloir des manquements de la banque (Com. 28 avril 2004).
• D'ailleurs en matière de gel des avoirs, l'obligation de vigilance devient de résultat.
• Dans l'intérêt général lui-même, l'intensité varie en fonction des buts poursuivis, engendrant des vigilances "standard, simplifiée, renforcée", en fonction du risque sous-jacent. En outre, des droits interférents font varier l'obligation, notamment la protection des droits à la protection des données personnelles, ou le droit à la non-immixtion du banquier. Enfin, interfèrent les obligations de vigilance pesant sur les tiers, y compris situés hors de l'Europe.

11h30-12h. L’intensité de l’Obligation de Vigilance selon les secteurs : le cas des opérateurs numériques, par Grégoire Loiseau, professeur à l'Université Paris 1 Panthéon-Sorbonne

• Dans cette première partie, Grégoire Loiseau développe le cas des opérateurs numériques.
• Il souligne le paradoxe d'un droit qui est parti d'un texte qui a posé le principe de l'irresponsabilité des hébergeurs, en raison de leur neutralité technique, pour aboutir au DSA et leur imposer des diligences, mais il rappelle que cette obligation n'apparaît qu'à partir d'un signalement qui est porté auprès de l'opérateur numérique et une interdiction expresse d'une obligation générale de surveiller les informations.
• Il n'existe d'ailleurs pas d'obligation générale de vigilance à la charge des opérateurs numériques, même si la jurisprudence récente semble durcir le rôle imposé aux hébergeurs.
• Le But Monumental est de lutter contre les contenus illicites, mais la liberté d'expression doit être aussi préservée et les réglementations varient selon le type de contenus, tandis que le DSA a une conception plus générale, vise une logique de responsabilisation et de prévention des risques systémiques. Mais vouloir "responsabiliser" les plateformes en Ex Ante, sans toucher au régime de responsabilité en Ex Post,  peut poser difficulté.
• L'obligation de vigilance va varier suivant que l'opérateur numérique a un rôle passif ou actif. Cela peut conduire les plateformes à adopter des mesures préalables qui peuvent constituer des obligations structurelles, le tiers de confiance pouvant prendre la forme d'un signaleur de confiance. La plateforme est ainsi rendue responsable de sa propre vigilance, mais malgré des hypothèses d'obligation de vigilance renforcée, cela ne doit pas aller jusqu'à des mesures d'investigation. Il faut néanmoins tenir compte d'obligations de vigilance renforcées spécifiques pour les très grandes plateformes, justifiées par les risques engendrés et les types de contenu (terrorisme, pornographie).

12h-12h30. L’intensité de l’Obligation de Vigilance selon les secteurs : le cas des opérateurs énergétiques, par Marie Lamoureux, professeure à Aix-Marseille Université

• Dans cette première partie, Marie Lamoureux développe le cas des opérateurs du secteur de l'énergie.
• Elle pose que ceux-ci sont directement concernés non seulement parce qu'ils ont été de fait assignés devant les juges dans les contentieux du devoir de vigilance, mais encore, voire surtout parce qu'ils sont le signe de l'intensité de la vigilance qui est attendue d'eux.
• Même s'il est vrai que leur activité est très hétérogène, voire sans rapport dans la nature physique et les filières, variant selon le type d'énergie et le type de risque, leur unicité vient précisément des entreprises qui sont des "géants", soumis à l'obligation d'élaborer des plans de vigilance, souvent verticalement intégrés, dans un secteur concentré sur des multinationales aux moyens très importants et présents tout au long de la chaine de valeur, dont l'activité engage des infrastructures et présente des risques très importants, notamment pour l'environnement.
• La culture de la prévention des risques y est déjà très présente, notamment en raison de la présente très forte de l'État et de la réglementation ("conformité réglementaire").
• Les opérateurs sont au centre, non pas seulement parce qu'ils génèrent des risques, mais encore parce qu'ils détiennent beaucoup de solutions pour atteindre les Buts Monumentaux visés par le système de vigilance : ils doivent contribuer d'une façon décisive à la lutte contre le changement climatique parce qu'ils en ont les moyens.
• C'est pourquoi les grands opérateurs ont tous adopté une raison d'être.

12h30. Arrêt des travaux de la matinée et déjeuner libre

II. LES VARIATIONS DE TENSIONS ENGENDRÉES PAR L'OBLIGATION DE VIGILANCE, POINTE AVANCÉE DU SYSTÈME DE COMPLIANCE

13h55. Reprise des travaux

14h-14h30. Peut-on repenser la responsabilité à l’aune du devoir de vigilance, pointe avancée de la compliance ?, par Mustapha Mekki, professeur à l’Université Paris 1 Panthéon-Sorbonne

• Dans la deuxième partie du colloque relative aux tensions engendrées par la Vigilance, mécanisme de Compliance, Mustapha Mekki développe les tensions que l'Obligation de Vigilance engendre sur le concept même de responsabilité.
• Répertoriant toutes les manifestations, très diverses, de la Vigilance, selon les domaines, il observe que se forme une logique téléologique de prévention et de gestion des risques systémiques, ce qu'est la compliance, sans doute remède à un État impuissant, s'appuyant sur une grande pluralité des normes.
• La question est de savoir si l'on peut passer de ces droits spéciaux mais d'un esprit commun à un droit commun transformé. Les premières décisions rendues à propos de la loi de 2017 répondent par la négative, mais la question est ouverte.
• Il faut alors revenir sur le concept même de responsabilité, qui pourrait accueillir un mécanisme général de Vigilance.
• Ce concept est très flexible et présente l'adaptabilité requise pour accueillir la logique de compliance. En effet, la responsabilité, classiquement ex post peut passer ex ante, à travers la notion de dette, non plus juridique mais éthique, car les entreprises doivent être "dignes de confiance".
• La responsabilité préventive vise alors à restaurer l'équilibre des systèmes dans la poursuite des Buts Monumentaux, pour l'efficacité et l'efficience des systèmes. La responsabilité se mixte de subjectivité et d'objectivité, le risque devenant central (par rapport à la faute), le litige dépassant l'intérêt des parties, la remédiation devenant le sujet central dans un procès en responsabilité à repenser : le dialogue doit y être au centre, entre les juridictions, entre les entreprises et les parties prenantes, dans un office du juge adapté.

14h30-15h. Dimension interne : tensions dans la gouvernance des entreprises concernées, par Véronique Magnier, professeure à l'Université Paris Saclay

• Dans la deuxième partie du colloque relative aux tensions engendrées par la Vigilance, mécanisme de Compliance, Véronique Magnier développe les tensions provoquées par le Droit de la Compliance et l'Obligation de Vigilance sur la gouvernance des entreprises.
• La loi dite "Sapin 2" vise la corruption, la loi dite "Vigilance" a un champ plus vaste quant aux risques et sur l'ensemble de la chaîne de valeur. Il est logique que cela crée des tensions sur la gouvernance tant les objectifs sont monumentaux, les entreprises devant s'approprier la délégation qui leur est ainsi faite, ce qui implique de repenser leur gouvernance et la façon d'exercer les mandats sociaux, l'intérêt social, boussole pour le juge, devant se conjuguer avec l'adoption de nouvelles normes de comportement formalisées volontairement par des chartes éthiques conformes aux standards internationaux. Sur cette base volontaire et encadrée, l'entreprise doit adapter sa structure puis contractualiser ces normes.
• Cette démarche éthique a un impact sur le rôle des organes sociaux, non seulement la transparence ou la hiérarchisation des risques, mais d'une façon proactive l'adoption d'engagements dont la sincérité sera contrôlée, ce que traduisent par exemple les codes de gouvernances (cf. AFEP-MEDEF), la mise en place de comités ad hoc et la présence des parties prenantes avec une consultation dans l'élaboration du plan de vigilance.
• Elle souligne que cela crée des tensions, que le dialogue est difficile, que le secret des affaires doit être préservé, mais qu'il faut faire des parties prenantes des vigies de la Vigilance, rôle qui ne doit pas être laissé aux seules autorités publiques.

15h-15h30. Dimension externe : tensions dans les chaînes de valeur des entreprises concernées par les obligations de Vigilance, par Laurence Dubin, professeure à l’Université Paris 1 Panthéon-Sorbonne

15h30-16h. Les technologies disponibles, prescrites ou proscrites pour satisfaire Compliance et Vigilance, par Emmanuel Netter, professeur à l’Université de Strasbourg

• Dans la deuxième partie du colloque relative aux tensions engendrées par la Vigilance, mécanisme de Compliance, Emmanuel Netter expose la façon dont les technologies peuvent soit être disponibles, soit prescrites, soit proscrites.
• Pour explorer cette trilogie, le cas en cours dit Youporn sera pris comme exemple.
• Il expose que la frontière est poreuse entre outils de compliance et outils de vigilance, les textes hésitant à les manier en raison du principe de neutralité technique.
• Des technologies sont proscrites si une automatisation devait atteindre les libertés individuelles, sauf à fournir des garanties car l'innovation aussi doit être préservée. Le principe de concurrence aussi conduit à des interdictions, notamment celle de systèmes entièrement fermés, l'interopérabilité et l'accès devant être préservés (DMA). La technologie ne doit pas être trop intrusive (position de la CNIL dans le cas Youporn).
• Mais les technologies sont par principe disponibles, le Droit pouvant vérifier la réalité du consentement, le responsable des traitements veillant à cela (RGPD), assurant la portabilité, propageant les demandes d'effacement, contrecarrer les dangers de données par d'autres technologies.
• L'hypothèse la plus intéressante est celle des technologies "prescrites". Si les briques technologiques existent, l'on demandera leur combinaison (ce que fit la DSP2), le RGPD requérant de l'opérateur qu'il transfère les données chez un autre.
• Quand les briques technologiques sont à inventer, cas du contrôle de l'âge (Youporn), on peut attendre des textes ou des jugements, le contrôle de proportionnalité ne suffisant pas et la solution n'étant pas prévisible.

III. LES MODALITÉS NOUVELLES DE L'OBLIGATION DE COMPLIANCE, MISES EN LUMIÈRE PAR L'IMPÉRATIF DE VIGILANCE

16h-16h30. L’au-delà des frontières, par Bernard Haftel, professeur à l'Université Sorbonne Paris Nord

16h30-17h. Contrats et clauses, mise en œuvre et modalités de l’Obligation de Vigilance, par Gilles J. Martin, professeur émérite à l'Université Côte d'Azur, membre du Groupe de Recherche en Droit, Économie, Gestion (GREDEG) du CNRS

17h-17h30. La preuve de la bonne exécution de la Vigilance au regard du système probatoire de Compliance, par Jean-Christophe Roda, professeur à l’Université Jean Moulin Lyon 3

17h30-18h. Discussion générale

18h-18h30. Synthèse, par Marie-Anne Frison-Roche, professeure de Droit de la Régulation et de la Compliance, directrice du Journal of Regulation & Compliance (JoRC)

18h30. Fin des travaux

________