Formation obligatoire conformité : mises en situation, pas clics

Une formation obligatoire de conformité est une formation que la loi, un règlement européen ou un régulateur impose à certains salariés. Elle couvre la lutte contre le blanchiment, la distribution d'assurance, les données personnelles, l'anticorruption, la résilience numérique ou le harcèlement. Réponse courte : les textes imposent la formation, rarement son format. La pratique de la conversation rend ces heures utiles.

Beaucoup d'organisations remplissent l'obligation par un e-learning annuel que l'on termine en cliquant. Le registre est à jour, mais les gestes ne changent pas. Cette page fait le tour des obligations, explique pourquoi ce format s'use et montre comment le compléter par des mises en situation débriefées. Chaque thème renvoie vers un article détaillé.

Quelles sont les formations obligatoires de conformité ?

Il n'existe pas une obligation unique, mais une série de textes qui visent des populations différentes. Voici le panorama, avec ce que chaque texte demande réellement.

• Lutte contre le blanchiment et le financement du terrorisme (LCB-FT). L'article L. 561-34 du Code monétaire et financier impose aux assujettis d'informer régulièrement leur personnel. Ils doivent aussi mettre en place des programmes de formation adaptés. Le détail est dans l'article sur la formation LCB-FT et l'entretien de vigilance.
• Distribution d'assurance (DDA). L'article R. 512-13-1 du Code des assurances fixe un minimum de quinze heures de formation par an. Voir la formation DDA de 15 heures.
• Protection des données (RGPD). Le règlement (UE) 2016/679 confie au délégué à la protection des données la sensibilisation et la formation du personnel (article 39, paragraphe 1, point b). Voir la formation RGPD des salariés.
• Anticorruption (Sapin II). L'article 17 de la loi n° 2016-1691 du 9 décembre 2016 prévoit un dispositif de formation destiné aux cadres et aux personnels les plus exposés. Voir la formation anticorruption Sapin II.
• Résilience numérique (DORA). Le règlement (UE) 2022/2554 est applicable depuis le 17 janvier 2025. Son article 13, paragraphe 6, demande aux entités financières des programmes de sensibilisation à la sécurité des TIC. Voir la formation DORA.
• Cybersécurité (NIS2). La directive (UE) 2022/2555 vise la formation des organes de direction (article 20) et les pratiques de cyberhygiène (article 21). Voir la formation NIS2 des dirigeants.
• Intelligence artificielle (AI Act). L'article 4 du règlement (UE) 2024/1689 traite de la maîtrise de l'IA. Voir l'obligation de l'article 4.
• Harcèlement. L'article L. 1153-5 du Code du travail impose à l'employeur de prévenir le harcèlement sexuel. L'article L. 1153-5-1 exige un référent dans les entreprises d'au moins 250 salariés. Voir la prévention du harcèlement. Pour le rôle particulier du référent, voir la formation du référent harcèlement.
• Déontologie et éthique. Codes de conduite, conflits d'intérêts, probité : voir la formation déontologie et, pour les agents publics, la déontologie dans la fonction publique.

Deux remarques sur ce panorama. D'abord, certains textes évoluent vite. Le règlement (UE) 2026/1744 du 8 juillet 2026 a réécrit l'article 4 de l'AI Act. Il parle désormais de mesures pour favoriser la maîtrise de l'IA. Pour NIS2, le projet de loi français dit « Résilience » restait en discussion en octobre 2026. Son examen à l'Assemblée nationale a été retiré de l'ordre du jour sans nouvelle date, selon Leto Legal.

Ensuite, aucun de ces textes n'impose un e-learning. Le Code des assurances précise que la formation peut être suivie en présentiel ou à distance, en une ou plusieurs sessions. Le choix du format appartient donc à l'organisation. Vérifiez toujours le texte en vigueur sur Légifrance ou EUR-Lex avant de bâtir un programme.

Pourquoi l'e-learning annuel ne change pas les pratiques

Un module de conformité transmet une information : ce que dit la règle, ce qui est interdit, à qui s'adresser. C'est utile pour savoir. Mais les erreurs de conformité surviennent rarement par ignorance de la règle. Elles surviennent au moment où il faut l'appliquer face à une personne qui attend autre chose.

Trois mécanismes expliquent l'écart entre savoir et faire.

• L'oubli. Une information lue une fois, sans usage, s'efface vite. Un module suivi en mars n'est plus disponible en octobre, quand le client insiste.
• Le contexte. Le module pose des questions à choix multiples. Le réel pose une personne qui s'agace, un collègue qui attend, un objectif commercial en retrait. La règle doit tenir dans cette tension.
• La formulation. Savoir qu'il faut refuser un cadeau n'apprend pas la phrase qui refuse sans froisser. Les mots se travaillent à voix haute, pas en cochant une case.

Le taux de complétion mesure alors la présence, pas la compétence. Vous trouverez cette distinction développée dans l'article sur la complétion et la compétence. La lassitude s'y ajoute : le même module chaque année, avec les mêmes questions, apprend surtout à répondre vite. Nous y revenons dans l'article sur la lassitude des formations réglementaires annuelles.

Ce que la mise en situation apporte aux formations obligatoires

Un réflexe de conformité est un geste appris par répétition, dans un contexte proche du réel. Le jeu de rôle oral reproduit ce contexte : un interlocuteur parle, insiste, change de ton, et l'apprenant doit répondre sur le champ. Ce sont les conditions du terrain, sans le risque du terrain.

Trois propriétés rendent la pratique orale efficace.

1. Elle force à formuler. Dire « je ne peux pas accepter cette invitation, mais je vous remercie » à voix haute fixe la phrase bien mieux que la lire.
2. Elle expose à la pression. Un interlocuteur qui insiste, culpabilise ou invoque une urgence active le même stress que dans la vraie situation. On apprend à le traverser.
3. Elle se rejoue. Après un débriefing qui cite ce qui a été dit, l'apprenant recommence et change une chose. Cette boucle fait progresser, alors qu'un module se refait à l'identique.

Cette thèse vaut aussi pour la sécurité. Notre dossier sur la sensibilisation cybersécurité et le vishing montre le même mécanisme. Un réflexe de vérification se construit en pratiquant l'appel, pas en lisant une consigne.

Comment bâtir un parcours de conformité par la pratique

Il ne s'agit pas de supprimer le contenu réglementaire, mais de le placer au bon endroit. Le module pose le cadre, la mise en situation fait travailler les gestes. Voici une méthode en cinq étapes.

1. Partez des cas réels. Recensez avec la conformité et les managers trois ou quatre situations difficiles. Par exemple : un client qui refuse de justifier une opération, un cadeau de fournisseur, une demande d'accès à des données.
2. Écrivez le scénario du point de vue de l'apprenant. Définissez l'interlocuteur, ce qu'il veut, son niveau de pression, et ce que l'apprenant doit obtenir ou refuser.
3. Fixez des critères observables. « A posé la question sur l'origine des fonds » est observable. « A été vigilant » ne l'est pas.
4. Débriefez sur les paroles. Les citations de ce qui a été dit servent de matière : ce qui a fonctionné, ce qui est à reformuler.
5. Faites rejouer, à intervalles espacés. Une pratique par trimestre sur un cas différent vaut mieux qu'une longue session annuelle.

Les formulations à travailler en priorité sont courtes.

« Je dois vous poser cette question, c'est une obligation pour tous nos clients. »

« Je ne peux pas traiter cette demande par téléphone, je vous indique la procédure. »

« Je préfère en parler à mon référent avant de vous répondre. »

Ces phrases protègent le salarié sans accuser l'interlocuteur.

Les situations à entraîner, thème par thème

Chaque obligation a sa situation de conversation type. Voici celles qui reviennent le plus, avec l'article qui les détaille.

Vigilance, assurance et données : l'échange avec le client

Un conseiller doit interroger un client sur l'origine de fonds, comme une procédure ordinaire. Un distributeur d'assurance doit recueillir des besoins avant de recommander un contrat. Un salarié reçoit au téléphone une demande d'accès à des données personnelles. Ces trois situations sont détaillées dans les articles sur la LCB-FT, la DDA et le RGPD.

Probité, déontologie et harcèlement : l'échange avec un collègue ou un tiers

Le cadeau d'un fournisseur, la sollicitation d'un intermédiaire, le conflit d'intérêts ou la remarque déplacée d'un collègue sont des conversations sous pression sociale. La formation Sapin II, la formation déontologie et la prévention du harcèlement y reviennent, avec des scénarios adaptés à chaque métier.

Résilience numérique et IA : la vigilance au quotidien

DORA, NIS2 et l'AI Act demandent de former le personnel et la direction. Le contenu technique s'apprend par module. Les gestes se travaillent par la pratique : vérifier un appelant, signaler un incident. Ils prolongent notre dossier cybersécurité, par exemple avec la procédure de rappel par un canal indépendant.

Secteur public : accueil et déontologie

Les agents accueillent du public, reçoivent des demandes de faveurs et appliquent la laïcité. L'article sur la déontologie dans la fonction publique décrit comment mettre ces situations en scène.

Les erreurs fréquentes dans un programme de conformité

Quelques écueils reviennent d'une organisation à l'autre. Les repérer permet de corriger un programme sans le refaire.

• Confondre obligation et format. Beaucoup pensent que la loi impose un e-learning. Les textes parlent de formation, de durée, de population, de traces. Relisez-les avant de figer un outil.
• Former tout le monde à tout. Un module identique pour la direction, les conseillers et les assistants n'est adapté à personne. Les textes eux-mêmes parlent de fonctions et d'exposition.
• Évaluer par un quiz de fin de module. Le quiz vérifie la mémoire immédiate. Il ne dit rien de la réaction face à un interlocuteur qui insiste.
• Concentrer la formation sur une semaine par an. L'oubli joue contre une session unique. De petites pratiques espacées sont plus efficaces.
• Oublier le débriefing. Sans retour précis sur ce qui a été dit, l'apprenant ne sait pas quoi changer.
• Ne pas relier les thèmes. Une opération atypique, un faux appelant bancaire et une demande d'accès aux données mobilisent les mêmes réflexes. Il faut vérifier, puis refuser ou orienter.

Pour tenir un refus, l'article sur dire non au téléphone sous pression fournit des phrases réutilisables. Elles valent pour tous les thèmes de conformité.

Prouver la formation et mesurer ce qu'elle change

Un régulateur ou un auditeur demande des traces : qui a été formé, sur quoi, quand, avec quel résultat. Le Code des assurances le dit explicitement. Entreprises et intermédiaires doivent pouvoir produire la liste des formations suivies, avec la date, la durée, les modalités et les thèmes. Les attestations de présence restent nécessaires.

Elles ne montrent pourtant pas que la personne sait faire. Une session de pratique débriefée apporte un autre type de preuve : des critères observés, des citations, une progression d'une session à l'autre. L'article sur la preuve de formation et la piste d'audit détaille ce qu'il faut conserver.

Pour piloter, suivez au moins trois indicateurs. Le premier est la part des critères atteints en première session. Le deuxième est la progression à la session suivante. Le troisième est le nombre de situations vécues sur le terrain qui avaient été entraînées. Ce dernier relie la formation à la conformité vécue.

Intégrer la mise en situation dans un parcours obligatoire

Face Up permet aux formateurs de créer leurs propres jeux de rôle à partir de leurs cas réels. L'apprenant parle, à la voix ou en vidéo, avec un persona joué par une IA. Ce peut être un client qui s'agace, un fournisseur qui offre une invitation ou un collègue qui insiste. Les formateurs écrivent leurs scénarios avec un assistant de conception : il n'y a pas de catalogue figé.

Après chaque session, l'apprenant reçoit un débriefing. Il y trouve les objectifs atteints ou non, ses points forts, ses points à améliorer, un plan d'action et des citations de ce qu'il a dit. Il peut rejouer. La connexion aux LMS se fait par LTI 1.3, ce qui permet d'intégrer ces sessions à un parcours déjà en place. La mise en situation s'ajoute alors au module, elle ne le remplace pas.

Qui décide du contenu d'une formation obligatoire ?

Le texte fixe le principe, l'organisation fixe le contenu. Pour la DDA, un arrêté du ministre chargé de l'économie liste les compétences visées, selon l'article R. 512-13-1. Pour Sapin II, l'organisation s'appuie sur sa cartographie des risques de corruption. Pour le RGPD, le délégué à la protection des données joue un rôle central.

Dans tous les cas, la conformité, les ressources humaines et les managers gagnent à construire ensemble les situations de formation. Les managers connaissent les pressions réelles. La conformité sait ce que le régulateur attend. Le formateur transforme ces deux regards en scénarios jouables.

Questions fréquentes

Une formation de conformité peut-elle être faite à distance ?

Dans la plupart des cas, oui. Le Code des assurances admet explicitement la formation en présentiel ou à distance, en une ou plusieurs sessions. Vérifiez le texte applicable à votre secteur, car certaines obligations précisent le contenu ou la population visée.

Un jeu de rôle compte-t-il dans les heures obligatoires ?

Cela dépend du texte et de votre régulateur. Pour la DDA, la formation doit actualiser les compétences nécessaires aux fonctions exercées, et vous devez pouvoir justifier thèmes, durée et modalités. Une mise en situation documentée répond à cette exigence si elle est tracée.

Faut-il former tout le monde de la même façon ?

Non. Sapin II vise les cadres et les personnels les plus exposés, DORA tous les employés et la direction avec des contenus adaptés aux fonctions. Ciblez les situations par métier : un conseiller et un acheteur ne rencontrent pas les mêmes pressions.

Par où commencer ?

Choisissez un thème où l'écart entre la règle et la pratique est connu, puis écrivez un scénario à partir d'un cas réel. Une première session suivie d'un débriefing suffit pour juger de l'intérêt avant de généraliser.

Pour transformer l'une de vos formations obligatoires en mise en situation débriefée, réservez une démonstration et apportez le cas qui vous pose le plus de difficultés.