L'angle mort réglementaire : ce qu'un Interim CEO découvre en ouvrant les dossiers
par Nicolas Henckes, fondateur et CEO
La plupart des missions de CEO de transition débutent par une discussion sur la stratégie : croissance, succession, fusion à mener à bien, crise à stabiliser. La question de la réglementation est rarement abordée lors du premier entretien. Elle surgit généralement vers la troisième semaine, non pas parce que quelqu’un l’a soulevée, mais parce qu’elle apparaît d’elle-même, dans un contrat de travail que personne n’a relu, dans un dossier de données personnelles que personne n’a documenté, ou dans la signature d’un fondateur sur une invention que personne n’a officiellement cédée à l’entreprise.
Il ne s'agit pas ici de négligence au sens où on l'entend habituellement. Les PME et les entreprises familiales luxembourgeoises se sont construites sur les relations humaines, la réactivité et la confiance, et non sur des services chargés de la conformité. Pendant vingt ou trente ans, cela a fonctionné. Le fossé n'apparaît qu'au moment de la transition, c'est-à-dire précisément lorsqu'un CEO de transition débute sa mission.
Pourquoi cet écart est structurel et non pas fortuit
Une PME comptant entre quinze et cinquante salariés ne dispose pas de directeur juridique. Elle compte un fondateur qui signe tout personnellement, un comptable qui s’occupe de la paie et un fiduciaire qui se charge des formalités légales obligatoires, sans plus. La plupart du temps, les questions réglementaires sont traitées de manière réactive, lorsqu’un client exige une clause ou qu’un inspecteur pose une question. Personne n’en assume la responsabilité de manière permanente.
En période de stabilité, ce risque reste gérable. En période de transition, comme lors d'une succession, d'une intégration suite à une fusion-acquisition, du lancement d'une filiale ou d'un changement de direction, il cesse d'être gérable, car c'est précisément lors de ces transitions que la conformité réglementaire est mise à l'épreuve : les nouveaux actionnaires examinent les contrats, les nouveaux auditeurs demandent la documentation, et l'équipe chargée de la due diligence de l'acquéreur passe tout au crible sans aucune raison d'être indulgente.
D'après notre expérience, quatre domaines reviennent de manière quasi systématique. Aucun d'entre eux n'est hors du commun. Tous sont négligés de manière prévisible et structurelle.
Quatre angles morts que l'on retrouve dans presque toutes les missions
1. Des contrats de travail qui n’ont jamais été mis à jour pour tenir compte de l’évolution du droit du travail au cours de la dernière décennie. Rien qu’au cours des trois dernières années, le Luxembourg a légiféré sur le droit à la déconnexion (loi du 28 juin 2023), a rendu obligatoires les dispositifs internes d’alerte pour tout employeur privé comptant plus de cinquante salariés (loi du 16 mai 2023, transposant la directive européenne 2019/1937), et continue d’appliquer une obligation de longue date, mais souvent négligée, consistant à tenir un registre quotidien du temps de travail pour chaque salarié (Code du travail, article L.211-29, principe que la CJUE a généralisé à l’ensemble de l’UE dans son arrêt CCOO de 2019). Rien de tout cela ne constitue une nouvelle législation présentée comme un nouveau risque. Ce qui est nouveau, c’est l’application de la loi. Le droit à la déconnexion bénéficiait d’un délai de grâce de trois ans avant que les sanctions administratives n’entrent en vigueur, une période que la plupart des PME ont considérée comme une autorisation d’attendre plutôt que comme un compte à rebours, et ce délai vient de s’achever. Une PME comptant soixante salariés, dépourvue de dispositif d’alerte, de politique de déconnexion et dont le registre des heures de travail a cessé d’être tenu dès le début du travail hybride n’est pas un cas isolé. Elle se situe plutôt près de la médiane.
2. Une protection des données mise en place une fois pour toutes et jamais réexaminée. Le RGPD n’est pas une nouveauté, mais la mise en conformité des PME s’est souvent figée à l’état où elle se trouvait vers 2018 : une politique de confidentialité sur le site web, un registre qui n’a jamais été mis à jour, des dossiers RH sans logique de conservation. C’est lors d’une transition que tout cela est mis à l’épreuve : un nouveau système RH, une nouvelle vérification préalable des actionnaires, la data room d’un acquéreur. La CNPD est l’autorité de contrôle luxembourgeoise chargée du RGPD, et elle vient également d’être désignée comme autorité nationale pour la loi sur l’IA, ce qui constitue le troisième angle mort.
3. La gouvernance de l’IA, qui s’impose plus rapidement que ne le prévoient la plupart des PME. L’obligation prévue par la loi sur l’IA en matière de culture de l’IA (visant à garantir que le personnel dispose d’une compréhension suffisante des outils d’IA qu’il déploie) s’applique depuis février 2025, sans seuil de taille ni exemption pour les PME. Les obligations relatives aux systèmes à haut risque entreront pleinement en vigueur en août 2026, tandis qu’une proposition de « Digital Omnibus » est en cours d’examen au sein des institutions européennes afin d’assouplir les délais et d’étendre les simplifications prévues pour les PME aux entreprises de taille intermédiaire. Tout cela n’a rien de théorique pour une PME luxembourgeoise qui utilise déjà un outil de planification basé sur l’IA, un chatbot ou un moteur de recommandation. L’erreur ne réside pas dans la méconnaissance de la loi sur l’IA, mais dans l’hypothèse selon laquelle « nous sommes trop petits pour que cela s’applique à nous », une idée que les régulateurs luxembourgeois eux-mêmes, lors de la conférence de la CNPD de janvier 2026 sur le sujet, ont explicitement démentie.
4. Propriété intellectuelle et secrets d’affaires qui n’ont jamais été formellement protégés. La législation luxembourgeoise sur le droit d’auteur exige que la cession des droits soit prouvée par écrit et l’interprète de manière restrictive en faveur du créateur, ce qui signifie qu’un fondateur ayant personnellement développé le produit, la marque ou le code peut ne pas avoir effectivement cédé ces droits à la société, même après les avoir considérés pendant des années comme des actifs de l’entreprise. Depuis la transposition en 2019 de la directive européenne sur les secrets d’affaires, le Luxembourg offre également aux entreprises un véritable recours civil contre l’utilisation ou la divulgation illicite d’un savoir-faire non divulgué, mais uniquement pour les informations qui étaient effectivement protégées en tant que secrets. Un dossier accessible à l’ensemble du personnel ne remplit pas ces conditions. Il en va de même pour l’ordinateur portable d’un salarié qui quitte l’entreprise et que personne n’a songé à verrouiller.
Pourquoi cela cesse d'être abstrait
Deux éléments font qu'un dossier de conformité négligé finit par représenter un coût réel.
La première est la sanction directe. L’ITM peut infliger à un employeur une amende comprise entre 251 et 25 000 euros par infraction aux seules règles de déconnexion, en fonction de la gravité du manquement et de la manière dont l’employeur réagit une fois l’infraction signalée ; l’absence d’un canal de signalement ou d’un registre des heures de travail constitue exactement le type de lacune qu’une inspection met en évidence sans grand effort. Rien de tout cela ne nécessite qu’un salarié mécontent soit à l’origine de la procédure. Un contrôle de l’ITM peut être de routine. Les inspections de l’ITM et de la CNPD accordent généralement à une entreprise de bonne foi une certaine marge de manœuvre pour corriger une lacune avant de la sanctionner. Ce délai de grâce n’existe qu’une fois que la lacune est visible et en cours de correction ; il n’existe pas rétroactivement une fois que la diligence raisonnable d’un acquéreur en a déjà tenu compte dans son offre.
Le deuxième coût, souvent plus important, apparaît plus tard : au moment de la vente. L’équipe chargée de la vérification préalable (due diligence) de l’acheteur ne considère pas la conformité en matière de main-d’œuvre et de données comme une simple formalité. Elle traite chaque lacune non corrigée comme un risque spécifique et quantifiable, et l’évalue en conséquence : un dépôt fiduciaire, un ajustement de prix, une garantie exclue et réservée pour le lendemain de la clôture. Un retard qui semblait gérable lorsque le fondateur dirigeait encore l’entreprise devient un levier de négociation entre les mains d’un acquéreur qui n’a aucune raison de se montrer généreux à cet égard. D’après notre expérience, c’est là que le coût de la négligence se fait le plus durement sentir, non pas sous la forme d’une amende payée aujourd’hui, mais d’une valorisation discrètement revue à la baisse quelques mois plus tard, pour des raisons que le vendeur ne comprend pleinement que lorsque le rapport de la data room atterrit sur la table.
L'erreur inverse est également possible
Rien de tout cela ne justifie de transformer du jour au lendemain une PME en un service dédié à la conformité. Une entreprise dirigée par son fondateur et comptant cinq salariés n’a pas besoin de l’architecture de gouvernance d’une société cotée en bourse, et un CEO de transition arrivant avec un classeur rempli de nouvelles politiques avant même d’avoir compris le fonctionnement de l’entreprise a mal interprété sa mission. L’objectif n’est pas d’atteindre une conformité maximale, mais de combler les lacunes spécifiques qui pourraient réellement nuire à l’entreprise si un inspecteur, un régulateur ou l’équipe de due diligence d’un acheteur venait à les examiner, et de savoir faire la distinction entre les deux.
Pourquoi cela relève des premières semaines, et non de l'entretien de départ
Nous ne passons pas des mois à analyser la situation. Dès les premières semaines d’un mandat, une évaluation structurée doit déjà permettre de cerner la situation réelle de l’entreprise sur ces quatre points, non pas dans le cadre d’un audit juridique pour le simple plaisir de l’audit, mais parce que chacun de ces points constitue une source de risque financier et de réputation qui s’aggrave à mesure que le problème reste sans solution, et une décote qui ne manquera pas d’être appliquée le jour où un acquéreur examinera la situation de près. Mettre à jour un cadre de gestion des ressources humaines, mettre de l’ordre dans un registre RGPD ou attribuer formellement des droits de propriété intellectuelle est simple lorsque ces questions sont abordées à un stade précoce. La situation est tout autre, et bien plus délicate, lorsqu’elles sont soulevées lors d’un processus de due diligence ou d’une inspection de l’ITM.
Un CEO de transition qui se contente de gérer le compte de résultat et laisse la situation en matière de conformité réglementaire exactement telle qu’il l’a trouvée n’a pas mené sa mission à bien.
______________
Par Nicolas Henckes, fondateur et PDG de Kitsune Advisory. Kitsune Advisory propose des services de direction intérimaire et de CEO Fractionnel à des entreprises au Luxembourg, en France, en Belgique, en Allemagne et en Suisse.
