Un auditeur externe remet son rapport à une fondation. Il souligne des lacunes sérieuses : aucune documentation des systèmes, des droits d’accès non contrôlés, des sauvegardes jamais testées, une dépendance totale à un prestataire technique sans contrat formalisé.
Le rapport annuel à déposer auprès du procureur de la République est en jeu. Les donateurs fondateurs, qui appliquent à leurs engagements philanthropiques les mêmes standards qu’à leurs activités professionnelles, commencent à s’interroger.
Cette situation n’est pas exceptionnelle dans le monde des fondations. Et elle est entièrement évitable.
Ce qui distingue une fondation d’une association classique
Les fondations d’entreprise et les fonds de dotation occupent une position hybride. Elles poursuivent une mission d’intérêt général, comme les associations, mais leur gouvernance est soumise à des exigences comparables à celles du monde de l’entreprise : traçabilité des flux financiers, responsabilité renforcée des administrateurs, transparence publique.
Leur patrimoine (dotations initiales, dons structurants) doit être géré avec la même rigueur qu’un portefeuille financier. Les données de leurs donateurs, souvent des entreprises ou des familles ayant des attentes élevées en matière de confidentialité, constituent un actif immatériel qu’il faut protéger. C’est d’ailleurs le sujet de notre article sur la sécurité des données des donateurs.
Les exigences de reporting annuel
Chaque année, une fondation produit un rapport de gestion soumis au procureur de la République et accessible au public. Ce document doit refléter fidèlement l’utilisation des ressources, les programmes conduits, les indicateurs d’impact. La fiabilité de ces données dépend directement de la qualité des systèmes d’information.
Des données incohérentes entre systèmes, des pertes d’historique, une impossibilité de retrouver des pièces comptables : tout cela peut conduire à une requalification du rapport ou à une injonction de l’autorité de tutelle. Ce n’est pas un risque théorique.
La responsabilité des administrateurs
Les administrateurs d’une fondation ont un devoir de diligence réel. Ils doivent s’assurer que les actifs, y compris les actifs informationnels, sont protégés. La négligence dans la gestion des données de donateurs ou de bénéficiaires peut engager leur responsabilité personnelle.
Ce n’est pas la fondation seule qui répond d’un incident grave, mais potentiellement ses dirigeants à titre individuel.
Ce qu’une infogérance sérieuse apporte
Un prestataire spécialisé ne se substitue pas à la responsabilité du conseil d’administration, mais lui fournit les moyens de l’exercer correctement. Cela passe par :
- Une documentation complète et à jour des systèmes
- Des sauvegardes testées et un plan de reprise formalisé
- Une gestion des accès fondée sur les rôles, révisée régulièrement
- Des procédures de réponse aux incidents documentées
- Un contrat avec des engagements de service précis et des droits d’audit
Le contrat est essentiel. Une dépendance à un prestataire sans cadre contractuel formalisé est elle-même une lacune de gouvernance.
Pérennité et choix technologiques
Les fonds de dotation sont conçus pour durer. Les choix techniques faits aujourd’hui doivent anticiper la reprise par des équipes futures, la compatibilité des données dans dix ans, la capacité d’un auditeur à retrouver et vérifier des informations historiques. La documentation et l’interopérabilité ne sont pas des détails : elles sont au cœur de la gouvernance à long terme.
L’infogérance pour les fondations et fonds de dotation fait partie de notre accompagnement pour les associations. Si vous gérez une structure avec des obligations de gouvernance et que vous voulez vous assurer que l’informatique est à la hauteur, on peut en discuter.
