Normes anticorruption et ISO 37001

1) Introduction : pourquoi ISO 37001

Les risques de corruption dans iGaming/Fintech sont renforcés par des chaînes complexes de fournisseurs, des affiliations, des licences et du marketing sur différents marchés. L'ISO 37001 (Système de gestion anti-Bribery, ABMS) est une norme internationale qui définit un système de gestion pour la prévention, la détection et la réponse à la corruption/extorsion. Son objectif est de réduire la probabilité d'incidents et de prouver aux organismes de réglementation/partenaires que l'entreprise gère les risques de manière systémique.

2) Principes clés de l'ABMS

Ton d'en haut (tone at the top) : le conseil d'administration/top management accepte et fait preuve de tolérance zéro.
Approche axée sur les risques : identification, évaluation, plan de traitement, hiérarchisation des zones à forte exposition.
Mesures proportionnelles : les contrôles correspondent à l'échelle et au profil de risque.
Indépendance de la fonction Complaens : assez de pouvoirs et de ressources.
Amélioration continue : surveillance, audits, mesures correctives.

3) Portée des risques de corruption

Corruption directe/indirecte, corruption commerciale, « graisse » (paiement de facilité, où interdit), pots-de-vin.
Cadeaux, hospitalité, parrainage, charité - comme des canaux de corruption cachée.
Affiliés/agents/intermédiaires, conseillers en licences, partenaires marketing.
Secteur public : licences, vérifications, autorisations, État, casinos/loteries d'État.
Conflits d'intérêts et arrangements d'initiés.
Fusions et acquisitions (M&A) et coentreprises (JV).

4) Cadre du système : Ce que la norme ISO 37001 exige dans la pratique

1. Politique et code anti-corruption + politique des cadeaux/conflits d'intérêts/donats et sponsoring.
2. Le rôle de l'agent anticorruption (ABCO) et la répartition des responsabilités.
3. Évaluation des risques par secteur d'activité, par géographie, par type de contrepartie.
4. Diligence raisonnable des tiers (risk-based) avec contrôle des sanctions et des tribunaux.
5. Contrôle des transactions et surveillance des drapeaux rouges.
6. Formation et communication pour les employés et les partenaires.
7. Lignes de dénonciateurs et interdiction de représailles (liées à la politique des dénonciateurs).
8. Enquêtes, mesures disciplinaires et remédiations.
9. Audit interne/surveillance, gestion-revue et CAPA (actions correctives et prévisibles).
10. Préparation de la certification par un organisme externe.

5) Matrice des risques (exemple)

6) Politique sur les cadeaux, l'accueil et les dépenses (G&H)

Limites : équivalents monétaires et « nature » (par exemple, jusqu'à X EUR par personne/événement ; limite annuelle).
Interdiction de l'argent, des cartes cadeaux, des voyages de luxe sans justification de service.
Harmonisation : tous ceux qui ont dépassé le seuil - via ABCO ; inscription obligatoire dans le registre.
Secteur public : règles plus strictes/interdiction complète.
Transparence : les registres des cadeaux et de l'hospitalité sont disponibles pour la vérification interne.

7) Conflit d'intérêts

Déclaration annuelle de tous les gestionnaires/achats/BD/marketing/avocats.
Déclaration d'événement lors de l'embauche/transition vers un nouveau rôle/lancement de projet.
Mesures : recusal (autosuffisance), rotation, interdiction de servir « ses » fournisseurs.

8) Diligence raisonnable des tiers (en particulier les affiliés et les intermédiaires)

Dépistage : sanctions, PPE, cas juridiques, médias négatifs, bénéficiaires.
Questionnaire et pièces justificatives : enregistrement, licences, statut fiscal, politique anticorruption, code.
Obligations contractuelles : clause anticorruption, droit d'audit, interdiction des sous-intermédiaires sans accord, rupture en cas de violation.
Gradation des risques : niveaux KYC des contreparties (faible/moyen/élevé), taux de révision (par exemple, annuellement pour le risque élevé).
Signes de paiement : interdiction des paiements sur les comptes offshore/personnel, facturation/actes obligatoires.

9) Drapeaux rouges (indicateurs opérationnels)

« Consultant » sans expertise explicite, exige des fonds/commission élevée, insiste sur les « résultats immédiats ».
Demandes de fractionnement de paiement ou d'envoi de fonds sur des comptes tiers.
Insister sur les affiliations/agents « sans nom » et les rapports.
L'exclusion de la concurrence dans les appels d'offres sous un prétexte imaginaire.
L'activité dans les pays à forte exposition à la corruption sans contrôles renforcés.

10) Formation et communication

Formation obligatoire annuelle + cas interactifs (G&H, organismes publics, affiliés, M&A).
Un module Onboarding pour les nouveaux employés et des tests « rafraîchissants » pour les rôles à risque élevé.
Communications en haut : lettres régulières de la CEO/bord, page interne de l'ABMS, FAQ.

11) Lignes d'informateurs et enquêtes

Canal anonyme 24/7, interdiction de représailles, confirmation et réponse de l'ALS (voir politique distincte des dénonciateurs).
Legal hold et conservation des preuves, équipe d'enquête indépendante.
Mesures disciplinaires allant jusqu'au licenciement ou à la résiliation des contrats ; dans les cas graves, s'adresser aux forces de l'ordre.

12) Suivi, audit et établissement de rapports

ABMS KPI : couverture par la formation, nombre/proportion de cas fermés, temps de réaction, proportion de tiers avec DD passé, résultats des tests de conformité G & H.
Vérifications internes du plan de risque (trimestrielles/annuelles).
Examen de la gestion (board) : au moins une fois par an - examen des risques, des incidents, des APA, des solutions de ressources.
Amélioration continue : ajustement des limites, mise à jour de la matrice des risques, nouveaux contrôles.

13) Intégration avec les processus iGaming/fintech

Affiliations et marketing : vérification rigoureuse, reporting transparent, audit des réseaux et des sources de trafic.
Licences et interactions réglementaires : procès-verbal des réunions, règle des « quatrième yeux », interdiction des cadeaux aux fonctionnaires.
Partenaires de paiement/PSP : clauses anticorruption dans les contrats, droit d'audit, interdiction des intermédiaires sans accord.
Fournisseurs de jeux/studios : contrôles de rémunération, rabais/rebats transparents, exclusion des arrangements « gris ».
M & A/JV : objectifs de diligence raisonnable en matière de lutte contre la corruption, plan d'intégration de l'ABMS.

14) Feuille de route pour la mise en œuvre et la certification (6-9 mois)

Phase 0 - Diagnostic (0-4 semaines) : Analyse Gap vs ISO 37001, carte des processus, matrice des risques, plan de projet, désignation ABCO.
Phase 1 - Politiques et conception des contrôles (1-2 mois) : Politique anticorruption, G et H, Conflits d'intérêts, Modèles contractuels, Procédures de DD, Enquêtes et dénonciateurs.
Phase 2 - Mise en œuvre et formation (2-4 mois) : Registre des cadeaux, registre des contacts avec les organismes publics, lancement du processus DD, formation, dashboard KPI.
Étape 3 - Surveillance et vérification (4-6 mois) : Vérifications pilotes, tests de cas, vérification interne du SGAB, APA.
Étape 4 - Certification (6-9 mois) : Préaudit, puis Stage 1/Stage 2 auprès d'un organisme de certification externe ; la délivrance d'un certificat lorsqu'il réussit.
Après - entretien : audit annuel de surveillance, révision des risques et KPI.

15) Matrice des contrôles (simplifiée)

16) RACI par ABMS

17) Réserves modèles (fragments)

Clause anticorruption dans le traité : "Les parties confirment le respect des lois applicables contre la corruption... la violation est substantielle et donne droit à la résiliation immédiate".
Cadeaux et hospitalité : "Les cadeaux/divertissements au-delà des limites ou toute forme de paiement en espèces sont interdits. Toute exception doit faire l'objet d'un accord écrit préalable avec ABCO".
Intermédiaires/affiliés : "Il est interdit de faire appel à des sous-intermédiaires sans consentement écrit ; Une Partie donne accès aux documents pour un audit sélectif".
Signalements d'infractions : « La Société fournit des canaux confidentiels et interdit toute répression contre les dénonciateurs de bonne foi ».

18) Erreurs fréquentes et comment les éviter

Des « politiques sur papier » sans registres ni surveillance. Solution : dashboard KPI, contrôles trimestriels.
Absence de DD pour les affiliés/agents. Solution : questionnaires standard, examen préalable des sanctions, rapports vérifiables.
Il n'y a pas de propriétaire ABMS. Solution : désigner un ABCO doté d'un mandat et de ressources.
Généralités « zéro limite » pour les cadeaux. Solution : limites raisonnables + exceptions par l'intermédiaire du comité.
Ignorer les drapeaux rouges. Solution : automatisation des alertes et escalade par SLA.

19) Paquet d'artefacts (garder dans le référentiel)

Politique de l'ABMS, Politique sur les G&H, Politique sur les conflits d'intérêts.
Modèles de clauses anti-corruption conventionnelles.
Registres des cadeaux/hospitalités et contacts avec les organismes publics.
Procédure Due Diligence + formulaires et chèques.
Plan de formation + contenu des cours/tests.
Procédure d'enquête + Runbook des informateurs.
Plan de vérification, rapports de vérification interne, CAPA.
Matrice de risque et matrice de contrôle (ABMS ↔ ISO 37001).

Sortie

L'ISO 37001 n'est pas seulement un certificat, mais un cadre de gestion durable : risques → politiques → diligence raisonnable → formation → suivi → enquêtes → amélioration. Pour iGaming/Fintech, il discipline le travail avec les affiliations, les licences et le marketing, réduit la probabilité d'incidents et améliore la confiance des régulateurs et des partenaires. Commencez par évaluer les risques et les politiques de base, puis mettez en place des registres et des DD, de la formation et de la vérification interne ; après avoir « bouclé » les processus, allez à la certification.