Diagnostic de conformité : comment évaluer la maturité de son dispositif

Vous avez un code de conduite, une procédure KYC et un responsable conformité. Mais ce dispositif fonctionne-t-il vraiment ? Un diagnostic de conformité répond précisément à cette question : il mesure l'écart entre ce que vos textes internes prévoient, ce que la réglementation exige et ce que vos équipes font au quotidien. Depuis la loi n° 25-10 et l'instruction n° 04-2026 sur le KYC unifié, cette question n'est plus théorique en Algérie.

Trop souvent, les dirigeants découvrent leurs failles lors d'une inspection ou d'un refus de correspondant bancaire étranger. Le diagnostic inverse la logique : identifier les faiblesses avant qu'elles ne coûtent cher. Voici la méthode que nous appliquons chez Hodemia Consulting, nourrie par nos missions en Europe, dans le Golfe et en Algérie.

1. Pourquoi réaliser un diagnostic de conformité aujourd'hui en Algérie

Un cadre réglementaire qui s'est densifié

La loi n° 05-01 relative à la lutte contre le blanchiment a été modifiée par la loi n° 23-01 du 7 février 2023, puis par la loi n° 25-10 du 24 juillet 2025, qui impose une évaluation nationale et sectorielle des risques partagée avec les assujettis. Les banques doivent en outre respecter le règlement n° 11-08 du 28 novembre 2011 relatif au contrôle interne, le règlement n° 24-03 du 24 juillet 2024 et l'instruction n° 04-2026 du 30 avril 2026. La loi n° 25-11 sur la protection des données personnelles élargit encore le périmètre.

Pour l'organisation qu'appellent ces obligations, consultez notre guide sur la fonction compliance Algérie.

La sortie de la liste grise ne signifie pas la fin de la vigilance

Le retrait de l'Algérie de la liste grise du GAFI, le 19 juin 2026, est une excellente nouvelle. Mais la prochaine évaluation mutuelle, attendue vers 2029, portera sur l'efficacité réelle des dispositifs. Vos partenaires étrangers, eux, exigent déjà des réponses documentées : les questionnaires de due diligence envoyés par les banques correspondantes ou les investisseurs sont de plus en plus détaillés, et une réponse approximative suffit parfois à bloquer une relation.

Un outil de pilotage pour la direction générale

Au-delà de la contrainte, le diagnostic est un instrument de gouvernance. Il fournit au conseil d'administration une photographie objective et partagée, permet de prioriser les investissements et évite de disperser des ressources limitées sur des sujets secondaires. Pour un nouveau directeur général ou un nouveau responsable conformité, c'est aussi le meilleur moyen de dresser un état des lieux dès la prise de poste.

2. Le périmètre d'un diagnostic de conformité : que faut-il évaluer ?

Un diagnostic utile commence par un périmètre clair. Une banque, une compagnie d'assurance, un intermédiaire en opérations de bourse ou un groupe industriel ne sont pas soumis aux mêmes textes, mais l'ossature de l'évaluation reste comparable. L'essentiel est de cibler d'abord les domaines où l'exposition est la plus forte.

Les thématiques réglementaires

• LCB-FT et KYC : classification des risques clients, vigilance renforcée, déclaration de soupçon à la CTRF, gel des avoirs ;
• Anticorruption : loi n° 06-01, cadeaux, conflits d'intérêts, évaluation des tiers ;
• Protection des données personnelles : consentement, sécurité, droits des personnes ;
• Réglementations sectorielles : Banque d'Algérie, COSOB, régulateurs des assurances ou des télécommunications.

Les dimensions organisationnelles

Il faut aussi évaluer les composantes transversales : gouvernance et rattachement de la fonction conformité, cartographie des risques, procédures, contrôles, formation, systèmes d'information, reporting et alertes. C'est souvent là que se nichent les écarts majeurs.

3. La méthode : de la collecte documentaire à la gap analysis

Une mission de diagnostic de conformité se déroule généralement sur deux à quatre semaines, en quatre étapes.

Étape 1 : cadrage et revue documentaire

Nous recensons les textes applicables et collectons la documentation interne : organigrammes, politiques, procédures, procès-verbaux des comités, rapports d'audit antérieurs, lettres de suite d'inspection et échanges avec le superviseur. Cette revue révèle déjà de nombreux constats : procédures obsolètes, références à des textes abrogés, responsabilités mal définies, absence de validation formelle par la direction.

Étape 2 : entretiens et observation

Les documents disent ce qui devrait se passer ; les entretiens montrent ce qui se passe vraiment. Nous rencontrons la direction, les fonctions de contrôle et les opérationnels. Une question simple, « que faites-vous si un client refuse de fournir un justificatif ? », en dit souvent plus long qu'une procédure de vingt pages.

Étape 3 : tests sur échantillon

Nous testons ensuite un échantillon de dossiers. Dans une banque : les dossiers à risque élevé sont-ils revus au moins une fois par an, comme l'exige l'instruction n° 04-2026 ? Le registre des bénéficiaires effectifs du CNRC est-il consulté ? L'entrée en relation avec une PPE est-elle autorisée par la direction générale ? Dans l'industrie, nous examinons plutôt les dossiers fournisseurs et les frais de représentation. L'échantillon est raisonné, centré sur les clients et opérations les plus risqués, puis complété par quelques tirages aléatoires : il ne s'agit pas de produire une statistique, mais d'objectiver une tendance.

Étape 4 : la gap analysis

La gap analysis confronte, exigence par exigence, la situation observée au niveau attendu. Chaque écart est qualifié selon sa nature (absence, insuffisance ou non-application du dispositif) et sa gravité. Voici à quoi ressemblent deux lignes typiques :

Ce format rend les constats lisibles par la direction et facilite le passage au plan d'action.

4. Évaluer la maturité : une grille en cinq niveaux

Savoir si l'on est conforme ou non ne suffit pas. L'évaluation de maturité offre une lecture plus fine, sur une échelle en cinq niveaux.

1. Initial : rien de formalisé, tout repose sur des individus ;
2. Émergent : procédures partielles et peu appliquées ;
3. Défini : dispositif documenté, contrôles limités ;
4. Maîtrisé : contrôles efficaces, indicateurs suivis, direction informée ;
5. Optimisé : amélioration continue et culture de conformité ancrée.

Une lecture par composante

Une même organisation peut être « maîtrisée » en KYC et « émergente » en anticorruption. C'est fréquent : beaucoup d'institutions algériennes ont concentré leurs efforts sur la LCB-FT pendant la surveillance renforcée du GAFI, parfois au détriment d'autres risques. Une représentation en radar, composante par composante, permet au conseil d'administration de saisir ces contrastes en un coup d'œil.

Une notation fondée sur des preuves

Chaque niveau attribué doit s'appuyer sur des éléments vérifiables : une procédure validée, un échantillon testé, un indicateur suivi, un procès-verbal de comité. Une notation déclarative, fondée sur les seules réponses des équipes, surestime presque toujours la maturité réelle. C'est précisément ce que le superviseur, puis les évaluateurs du GAFI, chercheront à vérifier.

Le retour d'expérience international

Dans le Golfe comme en Europe, nous avons constaté que les régulateurs attendent surtout une cohérence entre le profil de risque et la maturité du dispositif. Une PME peu exposée n'a pas besoin de l'outillage d'une banque internationale ; un établissement très exposé ne peut se contenter du niveau « défini ».

5. Du diagnostic au plan d'action : transformer les constats en résultats

Un diagnostic ne vaut que par le plan d'action qui en découle.

Prioriser selon le risque

Classez les écarts selon l'exposition (sanction, incident, perte de partenaire) et l'effort de remédiation. Traitez d'abord les « gains rapides », graves mais faciles à corriger : procédure à jour, responsable désigné, formation ciblée.

Structurer le plan d'action

Chaque action doit préciser :

• l'écart auquel elle répond ;
• un responsable nommément désigné ;
• une échéance réaliste ;
• les moyens humains, techniques et budgétaires nécessaires ;
• un indicateur permettant de vérifier qu'elle est achevée et efficace.

Impliquer la gouvernance et suivre l'avancement

Présentez le plan à la direction générale puis au conseil ou à son comité d'audit : ce passage lui donne sa légitimité et sécurise les ressources. Un suivi trimestriel évite l'essoufflement, et une nouvelle revue de maturité douze à dix-huit mois plus tard mesure le chemin parcouru.

Les erreurs à éviter

• Lancer un diagnostic sans sponsor au niveau de la direction générale ;
• Le présenter comme un audit sanction : les équipes doivent pouvoir parler librement ;
• Vouloir ouvrir tous les chantiers à la fois, au risque de n'en achever aucun ;
• Négliger la formation, alors que de nombreux écarts proviennent d'une simple méconnaissance des règles.

Conclusion : le diagnostic de conformité, point de départ d'un dispositif crédible

Le diagnostic de conformité permet au dirigeant de savoir, preuves à l'appui, où en est son organisation et de décider en connaissance de cause. Face au renforcement du cadre LCB-FT et à l'évaluation mutuelle du GAFI à venir, c'est un investissement de gouvernance plutôt qu'une dépense. Une évaluation de maturité honnête, une gap analysis rigoureuse et un plan d'action priorisé : voilà la base d'un dispositif qui protège réellement votre entreprise et votre réputation. Si vos ressources sont limitées, commencez par un périmètre resserré : mieux vaut un diagnostic ciblé et suivi d'effets qu'un exercice exhaustif resté lettre morte.

Fayçal Lounes

Fondateur de Hodemia Consulting

Près de 20 ans d'expérience internationale en conformité réglementaire, risques et gouvernance (EY à Luxembourg, San Francisco et Londres ; directeur Regulatory & Compliance Services chez KPMG Moyen-Orient). Coach certifié, formateur et enseignant-chercheur.