Eh bien, il semble que cet endroit soit en train de devenir une chronique rien qu’à moi. Rien que cette semaine, nous avons parlé de la manière dont nous préparons nos données pour l’intelligence artificielle et de la façon dont nous allons commencer à l’utiliser dans les mois à venir, dans le cadre de notre stratégie d’informatique cognitive. Nous avons également parlé de la manière dont nous garantissons la protection des données des personnes d’ici à Casa Hacker, de nos membres et de notre communauté — d’un point de vue un peu plus technique, sur la façon dont nous veillons à la sécurité de ces informations. Et nous avons enfin abordé la manière dont nous progressons en matière d’accessibilité à partir des plateformes que nous développons, tout en commentant quelques initiatives actuellement sur le terrain.
Cette année, nous avons participé à une initiative de formation de Neoenergia axée sur l’intégrité et les politiques de conformité dans les organisations du secteur tiers. En tant qu’organisation de notre secteur, nous avons décidé d’y participer. Fait curieux, cela fait déjà environ un an et demi que nous avons entamé ici un travail pour garantir la conformité et l’intégrité, et nous avons mis en œuvre une série d’initiatives précisément abordées lors de cette rencontre — ce qui rend d’autant plus important d’être aux côtés d’autres organisations dans des espaces qui abordent ce sujet. C’est le moment où nous apportons nos apprentissages et évaluons à quel point nous sommes en phase avec ce que notre secteur attend.
Fort de ce constat, j’ai décidé aujourd’hui de partager un peu de notre progression au cours de ces dix-huit mois : les politiques que nous avons créées, les formations, le canal de signalement, l’orientation au jour le jour et l’identification des incidents.
Qu’est-ce qu’un programme d’intégrité, sans jargon juridique
Un programme d’intégrité est l’ensemble des règles, contrôles, formations et canaux qui aident l’organisation à prévenir ce qui peut mal tourner, détecter rapidement ce qui échappe aux contrôles et corriger ce qui s’est produit.
Dit ainsi, cela semble abstrait. En pratique, il répond à des questions très concrètes du quotidien :
- Lorsqu’un paiement est émis, existe-t-il un document, l’approbation de la personne habilitée à approuver et la trace de qui a pris la décision ?
- Lorsque nous engageons un fournisseur, quelqu’un a-t-il vérifié où son nom apparaît — et quand cette vérification a-t-elle été effectuée ?
- Lorsqu’une personne souhaite signaler un fait grave, existe-t-il un moyen sûr qui ne dépende pas de la bonne volonté de la personne mise en cause ?
Il y a une raison légale de se préoccuper de cela : la Loi Anticorruption (Loi nº 12.846/2013) s’applique aux associations et aux fondations, et l’existence d’un programme d’intégrité constitue une circonstance atténuante en cas de problème. Mais ce n’est pas pour cela que nous le faisons. C’est parce qu’une organisation comme la nôtre existe par la confiance. Les dons, les parrainages, les conventions, le bénévolat et la réputation mettent des années à se construire et des secondes à se perdre. L’intégrité est ce qui protège notre mission — ce n’est pas un coût qui entrave l’activité.
Et notre programme repose sur trois décisions que nous répétons en interne jusqu’à ce qu’elles deviennent une habitude :
Proportionnel à notre taille. Nous ne copions pas la conformité d’une multinationale. Nous construisons ce qui correspond à notre réalité et ce que nous sommes capables de maintenir.
Le contrôle réside dans le processus. Aucune règle importante ne dépend du fait que quelqu’un s’en souvienne au bon moment. Elle est intégrée dans la procédure standard : si la vérification du fournisseur fait défaut, l’achat s’arrête tout simplement et ne passe pas à l’étape suivante.
Tout laisse une trace. Chaque décision pertinente a un auteur, une date, une justification et un document. C’est cela qui transforme « nous faisons les choses correctement » en quelque chose que nous sommes en mesure de montrer à un donateur, un bailleur de fonds ou un organe de contrôle.
Qui pilote ce travail
Aujourd’hui, c’est Everton Justo, Analyste de Conformité chez Casa Hacker, qui dirige le programme. Everton est diplômé en Administration de la Faculté Mário Schenberg, avec un troisième cycle en Gestion Financière et Contrôle de Gestion, et il est avec nous depuis septembre 2025. Son parcours en contrôle de gestion est d’une grande aide. Au quotidien, il veille à la maintenance des politiques, pilote les initiatives du programme, anime les formations, révise les politiques, traite les signalements reçus via le canal, suit les formations obligatoires et collabore avec le service juridique de Casa Hacker pour répondre aux questions des différents services. Il occupe un rôle spécifique — Analyste de Conformité —, doté de permissions spécifiques et d’une piste d’audit. Avoir une personne désignée est la première étape de tout programme d’intégrité, et cela vaut même pour les petites organisations : la fonction peut être cumulée, mais elle ne peut pas rester sans nom. L’intégrité qui est la « responsabilité de tous » finit généralement par n’être la responsabilité de personne.
Ce que la Direction et le Conseil assument
Le leadership donne le ton de la maison. Sans le soutien réel de ceux qui décident, un programme d’intégrité reste lettre morte. C’est pourquoi notre engagement est consigné de la manière la plus concrète possible : qui gère quoi.
La Direction reçoit et répond des signalements et des enquêtes concernant les services placés sous sa responsabilité — Projets et Administration —, approuve les politiques et reçoit le rapport périodique du canal de signalement.
Le Conseil d’Administration traite les signalements impliquant la Direction elle-même.
Cette seconde ligne est celle qui confère de la crédibilité à la première. Un canal où chaque cas aboutit à la Direction fonctionne bien pour la majorité des signalements et échoue précisément pour les plus graves — lorsque la personne mise en cause est celle qui dirige. La voie alternative doit exister avant qu’on en ait besoin ; après, il est trop tard.
L’engagement se manifeste également là où cela dérange. L’accord de la Direction est obligatoire pour l’approbation des achats répondant à certains critères. Il n’existe aucun raccourci lié à la fonction.
Et il y a la partie la moins glamour de la gouvernance, que nous avons appris à traiter comme un contrôle plutôt que comme de la burocratie : le mandat, le procès-verbal d’élection et l’acte de prise de fonction de chaque organe sont enregistrés et tenus à jour — Conseil d’Administration, Direction et Conseil Fiscal.
Les politiques, publiques dans leur intégralité
Nous comptons aujourd’hui 23 politiques en vigueur, toutes de lecture obligatoire, publiées dans notre système avec contrôle des versions, date d’entrée en vigueur et registre individuel de lecture. Elles couvrent l’intégrité (Code de Conduite Éthique, Manuel Anticorruption, Canal de Signalement, Protection de l’Enfance et de l’Adolescence), les questions juridiques et relatives aux données, les achats, les paiements et les déplacements, ainsi que le domaine institutionnel.
Plutôt que de tout lister ici, le mieux est d’aller directement à la source : toutes nos politiques sont publiées dans leur intégralité sur casahacker.org/movimento, accompagnées des registres des sociétés, des certifications et des rapports annuels. Il ne s’agit ni d’un résumé ni d’une version de vulgarisation — c’est le texte intégral, tel qu’il s’applique en interne. L’ensemble de la gouvernance se trouve également sur docs.casahacker.org.
Plus que la quantité, ce qui importe, c’est ceci : chaque politique possède un processus correspondant. La politique d’achats est devenue une grille d’étapes avec des seuils d’autorisation. La politique de protection des données est devenue un registre des opérations de traitement et un catalogue de données. Le canal de signalement est devenu un formulaire public, un protocole et une piste inaltérable. Une politique sans contrôle n’est qu’une intention ; un contrôle sans politique relève de l’improvisation.
Ce qui est en cours
Maintenance annuelle des politiques
Les politiques en vigueur existent depuis des années, mais elles ont été modifiées en juin 2026 et font l’objet d’une maintenance annuelle : révision du contenu, mise à jour des évolutions opérationnelles et nouvelle session de lecture enregistrée. Toute nouvelle politique emprunte la même voie — brouillon, approbation, publication versionnée.
Canal de signalement
Notre canal s’appelle Abre o Jogo et fonctionne sur cockpit.casahacker.org/denuncias, ouvert à toute personne, interne ou externe à Casa Hacker, sans inscription ni connexion.
Trois aspects y sont non négociables :
Un véritable anonymat. Ceux qui choisissent l’anonymat ne fournissent ni nom ni contact, et le système n’enregistre pas l’adresse IP de l’utilisateur. La contrepartie est honnête et s’affiche directement à l’écran : lors de l’envoi, la personne reçoit un numéro de protocole, et c’est grâce à lui — et lui seul — qu’elle peut revenir suivre son cas, répondre et joindre des documents. Il n’y a pas de mot de passe à récupérer. Le véritable anonymat signifie que nous-mêmes ne pouvons pas réidentifier l’auteur des propos.
Une piste inaltérable. Chaque étape de l’enquête est enregistrée dans une séquence chaînée qui n’autorise aucune modification ultérieure. Lorsque le délai de conservation expire, le contenu sensible est supprimé par action humaine, ne conservant que les données agrégées — catégorie, dates, issue. Et la suppression elle-même est enregistrée dans la piste.
Absence de représailles. Selon notre politique, exercer des représailles à l’encontre d’une personne qui signale de bonne foi constitue en soi une infraction grave, traitée comme telle.
Les registres sont conservés pendant au moins cinq ans, et l’Analyste de Conformité présente à la Direction un rapport indiquant le nombre de signalements, leur nature, le délai moyen de traitement et les mesures adoptées.
Formations
Nous disposons de huit parcours publiés, totalisant 162 chapitres et 171 questions d’évaluation. Les deux piliers du programme sont le Code de Conduite Éthique (17 chapitres, 45 questions, avec un engagement signé à la fin) et la Protection des Données et Sécurité de l’Information (49 chapitres, 50 questions), publié fin août avec 23 personnes convoquées et une validité de 12 mois. Les autres parcours soutiennent la même culture sous un autre angle : sécurité psychologique, communication affirmée et culture du feed-back, media training, gestion du temps, gestion de projet et introduction aux assistants IA.
Deux choix méthodologiques ici. Premièrement : la formation produit des preuves — inscription, chapitres validés, examen corrigé, engagement signé et date d’expiration. Sans cela, dire « tout le monde a été formé » est une phrase sans fondement. Deuxièmement : il n’y a pas de classement individuel. Le suivi s’effectue par service et en pourcentage, car l’objectif est l’apprentissage.
Orientation et support interne
Un programme qui ne se manifeste que pour punir, personne ne l’utilise. Le nôtre fait également office de service : le service répond aux questions du quotidien. Puis-je accepter ce cadeau ? Dois-je déclarer ce lien de parenté ? Ce remboursement dispose-t-il d’un justificatif suffisant ? Comment réagir face à une demande d’une autorité publique ? Ce sont déjà 45 consultations enregistrées dans notre module de conseil interne, en plus du canal de questions au sein des parcours et du Centre d’Aide. La règle informelle est bien connue : il est toujours moins coûteux de demander avant.
Identification des incidents et des risques
Nous tâchons ici de tenir une cartographie vivante, et non une photo annuelle — dans le traitement des données et l’exécution des projets, par exemple :
- 29 opérations de traitement de données personnelles enregistrées, avec catalogue de données, base légale et opérateurs identifiés
- 10 risques de la vie privée évalués et 2 rapports d’impact élaborés pour les opérations les plus sensibles
- 291 documents de gouvernance archivés et obligations institutionnelles suivies par échéance
- Vérification quotidienne des projets : 17 règles de conformité s’exécutent chaque jour sur l’exécution de nos programmes — activité sans responsable, livraison sans date, rapport en retard, documentation incomplète —, complétées par une analyse assistée par IA qui suggère des améliorations dans la planification. Une anomalie ne peut être écartée que par la Direction, avec traçabilité. L’analyste ne supprime aucune tâche en suspens.
Relations avec les personnes politiquement exposées
Entretenir une relation avec une personne politiquement exposée n’est pas interdit. Elle doit être déclarée, documentée et surveillée — et cette distinction est importante, car traiter le sujet comme un tabou ne fait que balayer l’information sous le tapis.
Le questionnaire auquel tout fournisseur répond comporte un volet entier à ce sujet : si un associé, un conseiller, un dirigeant ou un représentant relève de la catégorie des personnes politiquement exposées selon la règle du COAF ; si un parent jusqu’au troisième degré a fait partie d’une entité gouvernementale au cours des cinq dernières années ; s’il existe un lien de parenté avec une personne qui travaille, dirige ou conseille Casa Hacker ; s’il y a une action en justice contre nous ; s’il existe un conflit d’intérêts potentiel. Un second volet couvre l’engagement politique — candidature, nomination, responsabilité au sein d’un parti.
Chaque « oui » exige de préciser l’identité de la personne, sa fonction et l’organisme concerné. En parallèle de la déclaration, le système vérifie l’information dans la base officielle des personnes politiquement exposées. Une déclaration sans vérification n’est qu’un formulaire ; une vérification sans déclaration perd son contexte. Nous avons besoin des deux.
Conformité des fournisseurs : comment cela fonctionne en pratique
C’est la partie la plus mature du programme, et il convient de la détailler car c’est là que la technologie que nous développons fait toute la différence.
Toute personne morale fournissant des biens et des services à Casa Hacker est soumise à deux vérifications distinctes et complémentaires.
La première est la diligence raisonnable. Elle s’exécute dans notre système et consulte simultanément :
- la Recife Federal (fisc brésilien), pour la situation cadastrale du CNPJ et la structure des associés et administrateurs — c’est de là que proviennent les noms alimentant la suite de la recherche ;
- neuf sources nationales, via le CNPJ exact : CEIS (entreprises inaptes et suspendues), CNEP (sanctionnées par la Loi Anticorruption), CEPIM (entités à but non lucratif frappées d’interdiction), accords de clémence, le registre des employeurs ayant soumis des travailleurs à des conditions analogues à l’esclavage — la « liste noire » —, les personnes inaptes de la Cour des Comptes (TCU), les personnes sanctionnées du TCE-SP, du COBES-SP et la base des personnes politiquement exposées ;
- six sources internationales, par nom : OFAC SDN et OFAC Consolidated, du Trésor des États-Unis ; la liste consolidée du Conseil de Sécurité de l’ONU ; la liste des sanctions financières de l’Union Européenne ; la UK Sanctions List, du Royaume-Uni ; et la liste des entités et individus sanctionnés de la BID.
Les listes internationales sont indexées dans notre propre base de données : elles comptent plus de 103 000 enregistrements, mis à jour pour la dernière fois le 24 août. Et la recherche s’étend aux associés et administrateurs, et pas seulement à la raison sociale — car le risque réside rarement dans le CNPJ, mais bien dans ceux qui se cachent derrière.
Le résultat se traduit par un verdict d’une validité de 30 jours, enregistré avec la date, l’auteur de la consultation, la réponse brute de chaque source et la vérification d’intégrité :
- aucun antécédent — autorise l’étape suivante ;
- alerte — bloque le recrutement et exige une analyse humaine ;
- en attente — une source n’a pas répondu, et le dossier n’avance pas par omission, mais par décision.
Jusqu’à présent, 427 vérifications ont été menées à bien : 389 sans antécédents, 33 avec alerte et 5 en attente. Ces 33 alertes prouvent que le contrôle n’est pas purement décoratif.
La seconde vérification est le KYS — Know Your Supplier (« Connaître votre fournisseur »). Il s’agit d’un questionnaire d’intégrité que l’entreprise signe : 17 questions réparties en cinq blocs, couvrant les personnes politiquement exposées et les conflits d’intérêts ; les liens politiques ; l’historique de corruption, de blanchiment d’argent et de probité ; les droits humains (travail forcé et trafic d’êtres humains, injure raciale, crimes liés au genre, exploitation du travail des enfants) ; ainsi que les sanctions, l’historique contractuel et la régularité fiscale et sociale.
Le fournisseur répond via un lien dédié, sans avoir besoin de créer de compte sur notre système, et signe électroniquement avec une valeur juridique. Par le même acte, il autorise la consultation périodique des bases utilisées lors de la diligence. Pour les organisations de la société civile et les personnes physiques qui reçoivent nos investissements, l’instrument équivalent est le KYG — Know Your Grantee (« Connaître votre bénéficiaire »).
Où est-ce que cela coince ? Une demande d’achat franchit dix étapes chez Casa Hacker, et l’étape 4 fait office de barrière : sans fournisseur actif, sans diligence affichant « aucun antécédent » et sans KYS ou KYG en cours de validité pour des montants supérieurs à R$ 2 000, l’achat ne passe pas. Ce n’est pas un simple avertissement à l’écran, c’est un blocage. Et comme un contrôle rigoureux sans issue de secours incite les gens à le contourner, il existe une exception autorisable : un gestionnaire doté d’une autorisation spécifique, qui ne peut être l’auteur de la demande, débloque l’étape en enregistrant la justification dans la piste d’audit de l’achat. Cette démarche est rare, nominative et consignée.
Nos prochaines étapes
La prochaine étape a un nom : l’Informatique Cognitive, notre stratégie visant à intégrer l’ensemble de notre gestion administrative au sein de notre propre système développé en interne — avec le cloud, l’automatisation et l’intelligence artificielle agissant dès le début de chaque processus, et non comme un simple rapport final.
Sur le front de l’intégrité, voici ce que cela implique :
Audit continu des fournisseurs via des API mondiales. Aujourd’hui, la vérification est déclenchée par un événement — un nouveau recrutement, l’expiration du délai de 30 jours. L’objectif est une surveillance périodique et automatisée de l’ensemble de la base active, avec une alerte dès qu’un fournisseur déjà engagé apparaît sur une liste.
ROC et lecture automatique des documents. Factures, contrats, justificatifs et attestation sont désormais lus par la machine, le texte étant indexé et comparé à ce qui a été déclaré. La vérification documentaire cesse d’être un travail de contrôle visuel ligne par ligne pour devenir une exception signalée.
L’IA pour l’analyse, avec décision humaine. Saisie assistée des données de devis et de propositions, pré-analyse des risques lors de la soumission de l’achat, rédaction de projets de contrats et suggestions d’amélioration de la planification des projets. L’IA suggère ; l’humain confirme. Cette frontière ne bouge pas.
Le même standard dans tous les services : gestion administrative, achats, finances, contrats, protection des données, bureau de gestion de projet (PMO), bénévolat, comptabilité, inventaire, dons et services internes.
Il est utile de rappeler d’où cela vient. Le Cockpit est une technologie propre à Casa Hacker, conçue par nos soins pour la gestion et l’intégrité, et j’ai déjà raconté ici ce qui a dû être fait avant de poser la première question à l’IA.
Nos apprentissages jusqu’à présent
C’est lors de l’atelier de Neoenergia — tenu en juin, en partenariat avec l’Instituto Neoenergia, l’Instituto Pro Bono Brasil et le cabinet Machado Meyer, rassemblant neuf organisations du secteur tiers — que nous avons eu la confirmation que nos politiques couvrent les sept piliers présentés comme référence : l’engagement du leadership, le code de conduite, la cartographie des risques, les politiques et contrôles, la formation et la communication, le canal de signalement et le suivi assorti d’une amélioration continue.
Confirmer notre alignement est une bonne chose. Il est encore plus utile de consigner ce que nous avons appris en bâtissant ce système :
- Désigner une personne vaut mieux que créer un comité. La fonction peut être cumulée, mais elle doit avoir un nom, des permissions et un agenda.
- Une politique sans contrôle dans le processus n’est que du papier. La bonne question n’est pas « avons-nous une politique d’achats ? », mais plutôt « que se passe-t-il lorsque quelqu’un essaie d’acheter sans devis ? ».
- Le leadership s’implique. Il existe des seuils financiers pour lesquels l’approbation de la Direction est obligatoire.
- Le véritable anonymat a des conséquences pratiques — et cela doit être écrit à l’écran. Si nous n’enregistrons ni adresse IP ni contact, il est impossible de retrouver un suivi égaré. Promettre les deux en même temps, c’est tromper l’auteur du signalement.
- Le cas le plus grave est précisément celui que le flux normal ne résout pas. Un signalement impliquant la Direction nécessite une voie alternative conçue au préalable.
- Vérifier vaut mieux que déclarer, et les deux ensemble valent encore plus. Le fournisseur déclare ; le système vérifie. L’un ne remplace pas l’autre.
- Tout verdict doit comporter une date de validité. Une « diligence effectuée » sans date est une diligence périmée qui attend d’être découverte.
- Le risque réside rarement dans le CNPJ. Il réside dans la personne qui se cache derrière. Une vérification qui ne s’étend pas aux associés et administrateurs laisse passer l’essentiel.
- L’exception doit exister, être nominative et tracée. Un contrôle sans issue de secours incite au contournement. Grâce à une exception traçable, la dérogation devient une information de gestion.
- La formation est une preuve, pas un événement. Engagement signé, validité assortie d’une date d’expiration.
- Ne pas tout faire en même temps. Prioriser selon l’impact et la probabilité. Un programme proportionné qui fonctionne vaut mieux qu’un programme complet que personne ne maintient.
- Enregistrer l’anomalie fait partie du contrôle. Les incidents, les questions récurrentes et les non-conformités alimentent la révision suivante de la politique. Un programme sans historique d’erreurs est un programme qui ne regarde pas en face.
Pourquoi tout cela est intimement lié à notre mission
Un an et demi plus tard, ce que je dirais à ceux qui débutent, c’est que l’intégrité n’est pas un département — c’est la manière dont le travail se fait. Elle est présente dans l’achat qui attend que la vérification aboutisse, dans la formation qui s’achève par un examen, dans le canal qui garantit un véritable anonymat, dans les données des enfants que nous protégeons avec une attention redoublée.
Dans notre manifeste, nous avons pris l’engagement de traiter la technologie comme un droit et comme un langage de pouvoir, et non comme le privilège de quelques-uns. Faire les choses correctement, à chaque fois, est la déclinaison de cet engagement appliqué à notre propre maison : ceux qui confient des ressources aux périphéries méritent de savoir exactement où elles sont allées, qui a décidé et sur la base de quoi. Lorsque Casa Hacker est née, est née avec elle la certitude que les périphéries ne sont pas un lieu d’attente — elles sont un lieu de commencement. Et un lieu de commencement doit être un lieu de confiance.
Vous devez signaler quelque chose ? Le canal Abre o Jogo est disponible sur cockpit.casahacker.org/denuncias, ouvert à tous, avec un anonymat garanti pour ceux qui le souhaitent.