Exposition et registre des risques
Le barème est décrit dans Les sanctions. Cette page sert à en tirer un chiffre, puis un registre.
Les trois expositions
1. Exposition administrative
Le plafond le plus élevé entre 15 000 000 € et 2,5 % du chiffre d’affaires annuel mondial total de l’exercice précédent, pour les manquements aux exigences essentielles et aux obligations des articles 13 et 14.
Calcul à porter au comité :
Exposition administrative = max(15 000 000 € ; 0,025 × CA mondial consolidé N-1)Ce chiffre est un plafond, pas une prévision. Il sert à dimensionner l’effort, pas à prédire une amende.
2. Exposition commerciale
Souvent supérieure d’un ordre de grandeur à la précédente, et plus rapide à se matérialiser.
Exposition commerciale = (CA réalisé dans l'Union / 12) × durée en mois
d'une interdiction de mise à disposition ou d'un retraitÀ compléter par le coût d’un rappel si le produit est matériel : logistique, remplacement, communication.
3. Exposition contractuelle
Pénalités, clauses de conformité réglementaire, droits de résiliation et engagements d’indemnisation prévus dans vos contrats clients. Cette exposition se lit dans les contrats, pas dans le règlement, et elle est souvent la plus immédiate : un grand compte peut suspendre un contrat bien avant qu’une autorité n’agisse.
Le registre des risques de conformité
Tenu par la direction juridique, revu à chaque comité. Une ligne par risque identifié :
| Colonne | Contenu |
|---|---|
| Risque | Formulé comme un événement, pas comme une lacune |
| Produits concernés | Avec leur part de chiffre d’affaires |
| Cause | Lacune technique, organisationnelle ou documentaire |
| Probabilité | Échelle à quatre niveaux, avec critères écrits |
| Impact | Les trois expositions ci-dessus |
| Mesures en cours | Avec responsable et échéance |
| Risque résiduel | Après mesures |
| Décision | Traiter, réduire, transférer, accepter — avec le nom de qui accepte |
La colonne « accepter » est essentielle : un risque accepté par une personne identifiée n’est pas un risque ignoré. C’est aussi ce qui protège les équipes lorsqu’un arbitrage budgétaire a été fait en connaissance de cause.
Exemples de lignes typiques
| Risque | Cause | Mesure |
|---|---|---|
| Impossibilité de produire le dossier technique d’une version livrée en 2028 lors d’un contrôle en 2033 | Archivage non testé | Exercice annuel de restitution |
| Dépassement du délai de 24 heures un week-end | Absence d’astreinte juridique | Délégation écrite + tour d’astreinte |
| Produit de classe II sans organisme notifié engagé | Capacité de marché saturée | Contractualisation immédiate |
| Période de support intenable sur un produit reposant sur un composant amont abandonné | Diligence insuffisante à l’intégration | Plan de remplacement ou de reprise |
| Composant AGPL dans une offre en ligne | Politique de licences non appliquée en CI | Blocage en CI + audit du parc existant |
L’effet sur les opérations de croissance
Le CRA est devenu un point d’audit standard des diligences d’acquisition et des levées de fonds. Un acquéreur demandera :
- le registre de classification du portefeuille ;
- l’existence et la complétude des dossiers techniques ;
- le registre des signalements et le respect des délais ;
- le registre des périodes de support et les engagements associés ;
- la conformité des licences, avec le registre des exceptions.
Une lacune sur ces points se traduit par une garantie de passif, une retenue de prix ou une condition suspensive. C’est un argument de financement du projet à part entière, et souvent le plus efficace auprès d’un comité.