Audit des tiers : comment SODIAAL est passé d’un dispositif dispersé à un pilotage industrialisé

Dans un environnement où se superposent RGPD, Sapin II, devoir de vigilance, RSE, NIS2, la maîtrise des risques liés aux partenaires externes est devenue un marqueur de maturité conformité.

À petite échelle, cette exigence se gère “à la main”. Mais à l’échelle d’un groupe, elle change radicalement l’équation.

C’est précisément le défi qu’a rencontré SODIAAL, première coopérative laitière française, dont l’équipe conformité devait auditer plus de 6 500 producteurs et fournisseurs, sur plusieurs périmètres réglementaires.

Nous avons échangé avec Annabel Francony, Directrice Compliance & DPO du Groupe, pour comprendre comment son équipe est passée d’un dispositif fonctionnel mais dispersé à un pilotage structuré et industrialisé des audits tiers.

Voici les questions (et réponses) qui ont marqué cet échange.

À quel moment avez-vous compris que votre dispositif ne tiendrait plus ?

Pour Annabel, ce n’est pas un incident qui a déclenché la prise de conscience. Ni un contrôle. Ni une sanction. C’est un seuil.

À mesure que les exigences s’empilaient (RGPD, Sapin II, devoir de vigilance, etc.), chaque nouvelle obligation entraînait :

• une campagne supplémentaire,

• un questionnaire de plus,

• des relances à orchestrer,

• des réponses à consolider,

• des écarts à traiter.

Au début, le dispositif tient. Il “tourne”. Mais quand le volume dépasse 6 500 tiers, les symptômes deviennent structurels :

• multiplication des fichiers,

• suivis lourds et hétérogènes,

• consolidations manuelles,

• dépendance à quelques personnes clés,

• et une vision “groupe” difficile à produire sans retraitement.

À ce stade, la question n’est plus : avons-nous lancé nos audits ? Elle devient : sommes-nous capables de piloter, prioriser et expliquer notre dispositif (rapidement ) si on nous le demande ?

C’est à ce moment-là que l’équipe a compris que le modèle avait atteint ses limites.

Le vrai problème était-il le volume… ou l’absence de pilotage consolidé ?

Le volume était impressionnant. Mais, comme le dit Annabel, ce n'était pas le cœur du problème.

Le point critique, c’était l’absence d’une lecture consolidée et priorisée à l’échelle groupe.

Chaque campagne répondait à une obligation. Chaque questionnaire couvrait un périmètre spécifique. Chaque suivi était mené sérieusement. Mais mis bout à bout, le dispositif produisait beaucoup d’informations… sans permettre une lecture stratégique et actionnable.

En pratique, cela bloquait des questions comme :

• Où sont les risques les plus significatifs ?

• Quels tiers concentrent plusieurs écarts simultanés ?

• Quels plans d’action avancent réellement (et lesquels stagnent) ?

• Peut-on sortir une photo fiable (et stable) de la situation sans reconstruire un tableau à la main ?

Le vrai enjeu n’était donc pas d’auditer davantage, mais de pouvoir piloter, hiérarchiser, arbitrer.

Pourquoi optimiser l’existant n’était plus suffisant ?

Pendant un temps, l’équipe a fait ce que beaucoup font : améliorer. Affiner les questionnaires. Structurer les suivis. Optimiser les modèles. Mais avec la multiplication des campagnes et la superposition des périmètres, une évidence s’est imposée : le modèle restait dépendant d’une logique artisanale.

La question n’était plus d’être un peu plus efficace. Elle était de rendre le dispositif :

• soutenable

• traçable (preuves accessibles),

• explicable (arbitrages lisibles),

• et robuste en cas de demande imprévue.

Auditer 7 000 tiers sans s’arracher les cheveux ? 
SODIAAL l’a fait. Découvrez leur méthode et leurs outils dans un replay plein de bonnes pratiques.

Comment avez-vous structuré la bascule vers un pilotage industrialisé ?

L’équipe Compliance de SODIAAL a d’abord clarifié ce qu’elle attendait réellement du dispositif :

• centraliser l’information (fin des sources multiples),

• industrialiser les relances (cadence, cohérence),

• suivre les plans d’action dans un cadre structuré,

• et disposer d’une lecture groupe exploitable.

Le but n’était pas “d’ajouter un outil”. Le but était de structurer un système capable d’absorber la volumétrie, de gérer plusieurs périmètres réglementaires, et de rester utilisable pour les équipes.

C’est dans cette logique qu’un choix structurant a été fait : s’appuyer sur le module Gestion des tiers de Witik pour :

• centraliser les campagnes,

• harmoniser les questionnaires,

• automatiser le suivi et les relances,

• et obtenir une vue consolidée exploitable.

Qu’est-ce que cela a changé concrètement, côté pilotage et redevabilité ?

Le gain de temps est réel. Mais le vrai changement s’est joué ailleurs : dans la capacité à piloter et à produire un reporting fiable.

Concrètement, l’équipe peut désormais :

• lancer des campagnes à grande échelle sans multiplier les manipulations manuelles,

• relancer de façon structurée (et non au cas par cas),

• consolider les réponses en continu,

• et suivre les plans d’action dans un cadre plus homogène.

Mais l’impact le plus significatif, selon Annabel, se situe ailleurs. Il devient possible d’identifier plus rapidement les tiers les plus exposants, de hiérarchiser les priorités et, surtout, d’expliquer les arbitrages opérés.

Lorsqu’une question exigeante surgit (de la direction, d’un comité d’audit ou d’un régulateur), la différence est tangible : la lecture est déjà prête, structurée, sans reconstruction manuelle de dernière minute.

Quel est le principal risque à continuer à auditer de manière artisanale ?

Le risque n’est pas de ne rien faire. Le risque, c’est de croire que l’on maîtrise.

Un audit artisanal peut fonctionner un temps : les questionnaires partent, les réponses arrivent, des plans d’action existent. Sur le papier, le dispositif “tourne”.

Mais il repose souvent sur des équilibres fragiles :

• fichiers parallèles,

• consolidations manuelles,

• dépendance à quelques personnes clés,

• vision reconstruite a posteriori.

Le danger n’est pas l’absence d’audit. C’est l’absence de pilotage structuré.

Tant qu’aucune demande ne met le système sous tension, il semble suffisant. Le jour où il faut produire rapidement une lecture consolidée, priorisée et explicable, les limites apparaissent. Et à ce moment-là, industrialiser devient une course contre la montre.

Quel conseil donneriez-vous à une direction conformité confrontée à la même situation ?

Ne pas attendre la rupture.

Industrialiser un dispositif ne doit pas être une réaction à une crise, à un contrôle ou à une urgence. C’est une décision de gouvernance.

Le conseil d’Annabel est simple : anticiper le seuil. Se poser tôt la question :

Si l’on me demande demain une vision consolidée et priorisée de mes tiers, suis-je capable de la produire immédiatement ?

Si la réponse est hésitante, il est probablement temps de structurer : centraliser les campagnes, harmoniser les critères, automatiser ce qui peut l’être, et rendre les arbitrages visibles et explicables.

Vous voulez voir Witik en action ?

Si vous souhaitez découvrir comment le module gestion des tiers de Witik peut aider votre équipe à industrialiser vos audits multi-réglementaires, nous pouvons vous présenter en détail.