Preuve de formation conformité : ce que l'auditeur veut voir

Pour prouver une formation de conformité à un régulateur ou à un auditeur, il faut pouvoir montrer trois choses : qui a été formé et quand, sur quel contenu, et ce que cette formation a produit. Les listes de présence répondent à la première question, le programme à la deuxième. La troisième demande des évaluations, et c'est là que beaucoup de dossiers sont faibles.

Cet article liste les pièces à conserver et ce que les autorités recommandent de vérifier. Il montre aussi ce que des sessions de pratique débriefées ajoutent comme preuve de compétence. Il complète notre guide des formations obligatoires de conformité.

Que demandent les autorités en matière de preuve ?

Les textes exigent souvent une formation sans dire comment la prouver. Les recommandations de l'Agence française anticorruption (AFA), publiées au Journal officiel du 12 janvier 2021, sont plus précises. Elles décrivent un dispositif de formation destiné aux cadres et aux personnels les plus exposés. Ce public est identifié à partir de la cartographie des risques.

Ces recommandations encouragent des outils pour vérifier la bonne compréhension des formations, par exemple un test pendant la session ou après un délai. Elles proposent aussi de suivre le taux de couverture du public cible et le nombre d'heures consacrées à la conformité. Elles précisent que le responsable conformité doit connaître le calendrier et le contenu des formations, et pouvoir contrôler leur déploiement.

Pour le code de conduite, l'AFA demande de conserver la trace de sa remise ou de sa mise à disposition. Dans le secteur financier, DORA (article 13, paragraphe 6) rend obligatoires les programmes de sensibilisation à la sécurité des TIC dans les plans de formation. Ils visent tous les employés et la direction. L'auditeur attendra de voir qu'ils existent et qu'ils ont été suivis.

Les pièces à conserver dans un dossier de preuve

Un dossier solide tient en cinq familles de documents. Chacune répond à une question que l'auditeur est susceptible de poser.

1. Le périmètre. Qui est concerné et pourquoi : liste des populations exposées, issue de la cartographie des risques ou de l'analyse du métier.
2. Le contenu. Programme, objectifs, supports, version et date de mise à jour. Si le contenu change, gardez l'historique.
3. La réalisation. Dates, durées, présences ou connexions, taux de couverture du public cible.
4. L'évaluation. Tests, résultats, seuils, relances des personnes en échec.
5. Les suites. Actions décidées après la formation, signalements, mises à jour du contenu à partir des constats.

Cette structure suit la logique des recommandations de l'AFA : vérifier que la formation a eu lieu, qu'elle a été comprise, et que le pilote du dispositif en tire des enseignements. Pour les organismes de formation qui préparent aussi une certification qualité, les articles sur la préparation d'un audit Qualiopi proposent une logique documentaire proche.

Pourquoi la présence et le quiz ne suffisent pas

Une liste de présence prouve qu'une personne était là, ou qu'elle a ouvert un module. Un quiz final prouve qu'elle a reconnu quelques bonnes réponses. Aucun des deux ne prouve qu'elle saurait agir.

Un auditeur attentif posera donc la question suivante : « Comment savez-vous que vos conseillers posent réellement la question de vigilance ? » Répondre « ils ont tous validé le module » est honnête, mais la réponse reste fragile. Les mêmes limites sont détaillées dans notre article sur la complétion et la compétence.

La preuve la plus convaincante associe plusieurs niveaux : diffusion, compréhension et, quand c'est possible, observation du comportement en situation. C'est ce troisième niveau que la pratique débriefée peut alimenter.

Ce que des sessions de pratique débriefées ajoutent

Dans une mise en situation, l'apprenant fait ce qu'on attend de lui, ou ne le fait pas. La trace n'est plus une case cochée, c'est une observation : ce qu'il a dit, ce qu'il a omis, son niveau sur chaque objectif. Plusieurs sessions montrent en plus sa progression.

Avec Face Up, chaque session donne lieu à un débriefing : objectifs atteints ou non, points forts, points à améliorer, plan d'action et citations de ce que l'apprenant a dit. Le formateur peut relire ces éléments, les comparer d'une session à l'autre et s'en servir pour documenter la compétence. Les cas sont ceux que le formateur a écrits lui-même, à partir de ses situations réelles.

Cette trace s'ajoute aux preuves classiques sans les remplacer. Elle répond à la question que posent de plus en plus les contrôleurs : que sait faire la personne formée ?

Comment présenter la preuve à un auditeur

Un dossier bien présenté se lit en quelques minutes. Voici une trame efficace.

1. Une page de synthèse : la population visée, le calendrier, le taux de couverture.
2. Le programme et sa dernière mise à jour, avec la date et l'auteur.
3. Un extrait des résultats : moyenne, distribution, nombre de personnes relancées.
4. Deux ou trois exemples anonymisés de mises en situation avec leur débriefing.
5. Les actions décidées après la formation, avec leur suivi.

Les exemples anonymisés sont souvent ce qui convainc. Ils montrent que la formation fait travailler les gestes attendus, pas seulement qu'elle a été ouverte. Pensez à retirer toute donnée personnelle superflue avant de les ranger dans un dossier d'audit.

Exemple de fiche de suivi par session

Pour que chaque séance produise sa trace sans travail supplémentaire, une fiche courte suffit. Elle peut comporter les champs suivants.

• le thème et la situation travaillée, avec la version du scénario ;
• la date, la durée et l'identité de l'apprenant ;
• les objectifs de la conversation et ceux atteints ;
• deux citations de ce que l'apprenant a dit, une réussie et une à reprendre ;
• l'action décidée et la date de la prochaine séance.

Ces fiches, rassemblées par équipe, forment un historique que le responsable conformité peut consulter en quelques minutes. Elles permettent aussi de repérer les points collectifs à retravailler : si la moitié d'une équipe oublie de consigner un entretien, le sujet est organisationnel, pas individuel.

Tester la solidité de son dossier avant l'audit

Un exercice simple consiste à jouer l'auditeur. Prenez un thème, par exemple la vigilance client ou la prévention du harcèlement, et posez-vous quatre questions.

1. Puis-je lister les personnes concernées et prouver qu'elles ont été formées ?
2. Puis-je montrer le contenu exact qu'elles ont suivi, à cette date ?
3. Puis-je montrer ce qu'elles ont su faire à l'issue, au-delà de la présence ?
4. Puis-je montrer ce que j'ai changé après avoir lu les résultats ?

Si l'une des réponses est « non » ou « à peu près », c'est là que le dossier est fragile. Mieux vaut le découvrir en interne, avec le temps de corriger, que devant un contrôleur.

Erreurs fréquentes dans un dossier de preuve

• Un dossier reconstitué à la veille de l'audit. Les pièces manquantes se découvrent trop tard. Alimentez le dossier au fil de l'année.
• Un contenu non daté. Impossible de savoir quelle version les salariés ont suivie.
• Des taux sans dénominateur. « 95 % formés » ne veut rien dire sans le public visé.
• Aucune action après un mauvais résultat. L'auditeur cherche à savoir ce que vous avez fait de vos constats.
• Trop de données personnelles. Conservez ce qui est nécessaire, pas davantage.

Prévoir la preuve dès la conception

La meilleure façon de bâtir un dossier solide est d'y penser au moment de concevoir la formation. Pour chaque thème, posez trois questions : qui est concerné, quel comportement doit-on pouvoir observer, et quelle trace en résultera ? Une formation conçue ainsi produit sa preuve sans effort supplémentaire.

Dans une approche par mise en situation, cela revient à définir dès le départ les objectifs de la conversation : poser la question, refuser, consigner, orienter. Ces objectifs deviennent la grille d'évaluation, donc la preuve. Notre page sur les jeux de rôle présente le principe.

Questions fréquentes

Combien de temps conserver les preuves de formation ?

La durée dépend du texte applicable et des règles de prescription propres à chaque matière. Interrogez votre service juridique et votre délégué à la protection des données. Conservez les données personnelles le temps nécessaire, pas davantage.

Une attestation de présence suffit-elle ?

Elle prouve la réalisation, pas la compréhension ni la compétence. Complétez-la par des évaluations et, pour les populations les plus exposées, par des observations en situation.

Qui est responsable du dossier de preuve ?

Le plus souvent le responsable conformité, avec le service formation. Les recommandations de l'AFA indiquent que le responsable conformité doit pouvoir contrôler le déploiement des formations. Chacun doit savoir où se trouvent les pièces.

Comment limiter la lassitude tout en gardant la preuve ?

En découpant la formation en séances courtes qui produisent chacune une trace. Voir notre article sur la lassitude des formations annuelles.

Pour voir comment des sessions de pratique débriefées alimentent un dossier de preuve, réservez une démonstration.