Mise en conformité réglementaire de l'entreprise au Maroc

En grande partie, oui. La protection des données personnelles ne dépend d'aucune taille : dès qu'une entreprise tient un fichier de clients, filme ses locaux ou gère des dossiers de personnel, elle traite des données et doit accomplir les formalités prévues par la loi 09-08. La transparence sur le bénéficiaire effectif, de même, vise la société en tant que telle. En revanche, les obligations de vigilance contre le blanchiment ne visent que des professions et des secteurs désignés, et certaines obligations sociales ne s'imposent qu'au-delà d'un effectif. C'est précisément l'objet de la cartographie : ne rien laisser passer, et ne rien vous faire supporter d'inutile.

Le risque le plus visible est la sanction prononcée par une autorité, mais ce n'est pas toujours le plus coûteux. Une clause jugée abusive est écartée par le juge au moment précis où vous en aviez besoin ; une preuve obtenue par un dispositif de surveillance non déclaré peut être discutée dans un litige porté devant le juge social ; un questionnaire de conformité auquel l'entreprise ne sait pas répondre fait perdre un référencement ou un appel d'offres ; une opération de cession se retarde de plusieurs mois pendant que l'acquéreur fait régulariser ce qui aurait dû l'être depuis longtemps. Nous ne pouvons pas chiffrer ces risques à l'avance, mais nous pouvons les classer.

La loi 09-08 distingue selon la nature du traitement : certains relèvent d'une déclaration préalable, d'autres, plus sensibles, supposent une autorisation avant d'être mis en œuvre. La qualification n'est pas toujours évidente, et c'est là que se joue l'essentiel : un fichier commercial, un dispositif de vidéosurveillance, un outil de géolocalisation des véhicules et un fichier de candidats ne se traitent pas de la même manière. Nous inventorions les traitements existants, retenons pour chacun la formalité qui convient, et rédigeons les mentions d'information à porter à la connaissance des personnes concernées.

Le bénéficiaire effectif est toujours une personne physique : la déclaration ne s'arrête pas à la première société de la chaîne. Il faut remonter les niveaux de détention successifs, y compris à travers des sociétés étrangères, jusqu'à identifier celui ou ceux qui contrôlent réellement — par le capital, par les droits de vote ou par tout autre moyen, y compris un pacte ou une convention. Lorsqu'aucune personne ne se dégage à ce titre, la réglementation retient à titre subsidiaire celle qui exerce la direction effective de la société. L'exercice demande de reconstituer des documents parfois anciens, et il gagne à être fait avant qu'une banque ou un partenaire ne le réclame en urgence.

Les deux, dans cet ordre. La remise à niveau initiale est un chantier : elle a un début, un périmètre et une fin, et c'est elle qui produit les registres, les procédures et les formalités manquantes. Ensuite vient l'entretien, qui est d'une autre nature. Un état de conformité se dégrade sans que personne ne fasse rien de mal : une nouvelle activité, un outil informatique changé, un prestataire remplacé, un associé qui entre au capital, un effectif qui franchit un palier. Une revue périodique, même brève, coûte beaucoup moins qu'une reprise complète tous les trois ans.

Oui, et c'est même une part fréquente de la mission. Nous commençons par qualifier le courrier reçu : une demande de renseignements, une mise en demeure et l'ouverture d'une procédure de sanction n'appellent ni la même réponse ni la même urgence. Nous vérifions ensuite ce que l'entreprise peut réellement établir, préparons la réponse et, lorsque c'est possible, régularisons la situation avant l'échéance indiquée — une régularisation spontanée est généralement mieux reçue qu'une contestation de principe. Si le dossier bascule au contentieux, il est traité avec les prestations du pôle litiges.