La jungle réglementaire : une réalité croissante
Une organisation opérant dans le secteur financier européen peut se trouver simultanément soumise au RGPD, à DORA, à NIS 2, aux réglementations EBA sur la cybersécurité, aux exigences PCI DSS si elle traite des paiements par carte, à la réglementation EMIR si elle utilise des produits dérivés, et potentiellement à des réglementations extra-européennes si elle opère dans plusieurs juridictions. Chacun de ces référentiels a ses propres définitions, ses propres obligations, ses propres délais de notification, et ses propres autorités de contrôle.
Cette multiplication n'est pas un phénomène temporaire — c'est une tendance structurelle. Les régulateurs répondent à des incidents de plus en plus fréquents et médiatisés en renforçant les obligations de sécurité et de conformité. Chaque nouveau cadre réglementaire ajoute des couches d'obligations que les organisations doivent absorber sans nécessairement disposer de ressources supplémentaires proportionnelles.
La gestion de cette complexité réglementaire est devenue un enjeu stratégique à part entière. Les organisations qui la subissent de façon fragmentée — un responsable par référentiel, des équipes en silos, des processus déconnectés — accumulent des coûts de conformité élevés tout en maintenant des zones de risque non couverts. Les organisations qui la gèrent de façon intégrée transforment cette complexité en avantage compétitif.
Points clés
- British Airways (2018-2023) : Après la violation RGPD, British Airways a dû gérer simultanément les exigences de l'ICO (RGPD), de la CAA (réglementation aéronautique), et de la FCA (réglementation financière pour ses services de paiement) — trois autorités avec des exigences de sécurité partiellement différentes, toutes légitimes et toutes applicables au même incident.
- Air India : En tant qu'entreprise cotée opérant dans plusieurs juridictions, Air India est soumise à des réglementations de protection des données dans les pays où elle opère (RGPD en Europe, PDPA en Thaïlande, PDPB en Inde) avec des exigences de notification différentes — illustrant la complexité multi-juridictionnelle.
- 70 à 80% des exigences des principaux référentiels de sécurité (RGPD, NIS 2, ISO 27001, DORA, PCI DSS) sont communes — un programme d'alignement permet de couvrir cette base commune efficacement.
- Les conflits apparents entre référentiels (durées de conservation contradictoires, définitions divergentes d'un incident) peuvent souvent être résolus par la règle du standard le plus élevé.
- Un programme de conformité intégré coûte en moyenne 30 à 40% moins cher qu'une gestion en silos des mêmes obligations réglementaires.
Cartographier les recoupements et les conflits
La première étape d'une gestion efficace de la multiplicité réglementaire est la cartographie des recoupements entre les référentiels applicables. Cette cartographie identifie les exigences communes — que plusieurs référentiels couvrent simultanément — et les exigences spécifiques à chaque cadre, permettant de construire un programme de conformité qui évite les redondances sans créer de lacunes.
La cartographie des recoupements révèle généralement que la base commune est significative. La gestion des accès et des identités est requise par le RGPD, NIS 2, DORA, ISO 27001, et la plupart des référentiels sectoriels. La gestion des incidents et les obligations de notification ont des structures similaires dans tous les cadres modernes, même si les délais et les autorités varient. La gestion des risques tiers est une exigence transverse à NIS 2, DORA, et aux réglementations financières. Un programme de conformité qui traite ces domaines communs de façon unifiée évite de dupliquer les efforts pour chaque référentiel.
La cartographie révèle aussi les conflits réels : des durées de conservation contradictoires entre le principe de minimisation RGPD et les obligations de rétention de certaines réglementations financières, des définitions d'incidents suffisamment différentes pour créer des zones d'interprétation. Ces conflits doivent être identifiés et résolus avec l'appui du conseil juridique avant de se matérialiser lors d'un contrôle.
Construire un référentiel intégré de conformité
Un référentiel intégré de conformité est un cadre qui aligne les exigences de plusieurs référentiels réglementaires dans une structure unique, organisée par domaine de contrôle plutôt que par référentiel d'origine. Cette approche — souvent appelée « cadre de conformité harmonisé » ou « unified compliance framework » — est la réponse organisationnelle à la multiplicité réglementaire.
La construction d'un tel référentiel commence par l'identification de tous les référentiels applicables et la décomposition de leurs exigences en contrôles élémentaires. Ces contrôles sont ensuite mis en correspondance entre référentiels — identifiant les contrôles communs, les contrôles spécifiques à un seul référentiel, et les contrôles en tension. Le référentiel intégré organise ces contrôles en domaines fonctionnels (gestion des accès, gestion des incidents, gestion des risques tiers, etc.) qui peuvent être mis en œuvre une seule fois tout en satisfaisant les exigences de plusieurs référentiels simultanément.
Ce référentiel intégré est un investissement initial significatif — mais il génère des économies structurelles dans les cycles d'audit, réduit le risque de lacunes de couverture, et simplifie la gestion des mises à jour réglementaires en limitant leur impact à la partie spécifique du référentiel concernée.
LastPass (post-2022) : Dans sa transformation post-incidents, LastPass devait simultanément répondre aux exigences du FTC Settlement Order, aux obligations RGPD en Europe, aux exigences SOC 2 de ses clients entreprise, et aux obligations de sécurité contractuelles de ses principaux partenaires. Le groupe a développé un référentiel intégré alignant ces quatre cadres, lui permettant de démontrer aux régulateurs, aux clients, et aux partenaires une conformité cohérente avec une seule architecture de contrôles — réduisant la charge de gestion de conformité tout en améliorant sa couverture réglementaire.
Gouverner la veille réglementaire
La multiplicité des référentiels réglementaires est un état dynamique : les cadres existants évoluent, de nouveaux cadres entrent en vigueur, des réglementations sectorielles s'alignent sur les normes transverses. La gouvernance de la conformité doit intégrer une fonction de veille réglementaire structurée pour anticiper ces évolutions et préparer les adaptations nécessaires.
La veille réglementaire efficace couvre trois horizons temporels. À court terme (0-6 mois), elle suit les entrées en vigueur et les textes d'application des réglementations déjà adoptées — notamment les guidelines et recommandations des autorités de contrôle qui précisent les attentes opérationnelles. À moyen terme (6-18 mois), elle suit les processus législatifs et réglementaires en cours pour anticiper les obligations futures et préparer les adaptations avant leur entrée en force. À long terme (18 mois et plus), elle identifie les tendances réglementaires émergentes qui vont influencer l'environnement de conformité — permettant d'intégrer ces orientations dans la stratégie de gouvernance.
La direction doit recevoir une synthèse régulière de la veille réglementaire — non pas pour être experte de chaque référentiel, mais pour comprendre les évolutions qui impacteront les décisions d'investissement, d'organisation, et de gestion des risques de l'organisation.