Risque de non-conformité contractuelle

Définition

Le risque de non-conformité contractuelle désigne l’exposition d’une entreprise dont les contrats, ou la gestion de ses contrats, ne respectent pas les exigences légales et réglementaires applicables : clauses obligatoires absentes, clauses interdites présentes, ou incapacité à démontrer la conformité du parc lors d’un contrôle. Il se distingue du risque contractuel classique en ce que le préjudice vient du régulateur, pas du cocontractant.

Enjeux et pratique

Une mutation discrète a changé la nature de la conformité : les réglementations récentes ne se contentent plus d’encadrer les comportements, elles prescrivent le contenu des contrats. Le RGPD impose les mentions de l’article 28 dans tout contrat de sous-traitance de données. DORA liste les clauses obligatoires des contrats avec les prestataires informatiques du secteur financier. Sapin II attend des clauses anticorruption proportionnées au risque des tiers. Le devoir de vigilance attend une cascade d’engagements dans la chaîne de sous-traitance. À chaque fois, le contrat devient la pièce justificative de la conformité.

Ce déplacement crée un risque en deux couches. La première est substantielle : des contrats non conformes (clause manquante, version obsolète, exigence non répercutée aux sous-traitants). La seconde, plus insidieuse, est probatoire : des contrats peut-être conformes, mais une incapacité à le démontrer à l’échelle du parc. Quand la CNIL, l’AFA ou un superviseur financier demande « montrez-moi que vos contrats concernés contiennent les clauses requises », la réponse exige de savoir quels contrats sont concernés, ce qu’ils contiennent, et de le prouver document à l’appui. Une entreprise aux contrats dispersés échoue à ce test même si chaque contrat, pris isolément, est correct.

S’ajoute la dynamique temporelle : chaque évolution réglementaire crée un stock de contrats à mettre à niveau. Sans capacité à requêter le parc (quels contrats contiennent l’ancienne clause, lesquels n’ont rien), chaque réforme déclenche une revue manuelle de plusieurs mois. La conformité contractuelle durable est une propriété du référentiel, pas une campagne.

Exemple concret

Lors d’un contrôle CNIL consécutif à un incident, une entreprise doit produire les contrats de sous-traitance de ses 45 prestataires traitant des données personnelles. Douze contrats sont antérieurs au RGPD et jamais avenantés, huit sont introuvables dans leur version signée. La sanction retient, au-delà de l’incident lui-même, le défaut d’encadrement contractuel des sous-traitants : un manquement entièrement documentaire, donc entièrement évitable.

Question fréquente

Comment maintenir la conformité contractuelle dans le temps ?

Trois mécanismes : des modèles et clauses à jour, mis à niveau à chaque évolution réglementaire ; un référentiel permettant d’identifier les contrats portant une version obsolète ; et une veille qui relie chaque nouvelle exigence aux familles de contrats concernées. La conformité ponctuelle s’obtient par campagne, la conformité durable par le système.