Le contrôle interne en matière de LCB-FT fait dissidence

1. Présentation. Nous avions déjà enterré, dans cette Revue, le fameux règlement n° 97-02, de vieille mémoire de banquier, lorsqu’il avait laissé sa place à l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contrôle de l'Autorité de contrôle prudentiel et de résolution [1] . Il nous faut désormais annoncer la fin de l’unité du contrôle interne puisque, désormais, un contrôle interne propre à la LCB-FT (et à ses appendices : gel des avoirs et interdiction de mise à disposition) se détache du tronc commun ; détachement, au demeurant, qui était déjà en germe depuis qu’un arrêté du 21 décembre 2018 a prévu, en marge du rapport annuel sur le contrôle interne, un autre rapport sur l’organisation des dispositifs de contrôle interne de LCB-FT et de gel des avoirs.

La conséquence immédiate de ce nouveau texte est que l’arrêté du 3 novembre 2014 est expurgé de ses dispositions relatives à la LCB-FT : sont ainsi supprimés les articles 43 à 73, 246, 275 et 259, h) [2] . Voilà un bel exemple de réglementation par soustraction d’un texte source auquel est adjoint un autre, spécial ; un exemple, encore, d’un texte « transversal » (ou « horizontal » ou « trans-sectoriel ») qui vient s’ajouter à l’arrêté d’origine relatif au contrôle interne « des entreprises du secteur de la banque, des services de paiement et des services d’investissement ».

Après quelques tergiversations [3] , l’article 35 de l’arrêté du 6 janvier 2021 prévoit qu’il entrera en vigueur le 1er mars prochain, cependant que les organismes assujettis [4] bénéficieront, à compter du 16 janvier 2021 (publication du texte), d’un délai d’un an pour mettre en conformité avec l’article 10 de l’arrêté les contrats d’externalisation conclus avant le 1er mars (cf. point 3 ci-après). Survolons les principaux chapitres qui composent l’arrêté « dissident » de ce début d’année.

2. Dispositif de LCB-FT. En écho à l’article L. 561-4-1 du CMF, il s’agit ici de « documenter » (voilà un verbe de la conformité qu’il serait intéressant d’étudier de plus près) l’identification, l’évaluation et la classification des risques, afin que, « préalablement au lancement de nouveaux produits, services ou pratiques commerciales, y compris le recours à de nouveaux mécanismes de distribution et à des technologies nouvelles ou en développement, en lien avec des produits et services nouveaux ou préexistants, les organismes assujettis identifient et évaluent notamment les risques de blanchiment de capitaux et de financement du terrorisme qui y sont liés, afin de prendre des mesures appropriées pour gérer et atténuer ces risques » [5] .

Sont également précisées, à l’article 3 de l’arrêté, les missions du responsable de la mise en œuvre du dispositif de LCB-FT – y compris, le cas échéant, au niveau du groupe [6] – mentionné au quatrième alinéa du I de l’article L. 561-32 et que viendront rejoindre les nouveaux responsables du contrôle permanent et du contrôle périodique de LCB-FT (cf. point 5 ci-après).

Il faut encore relever qu’une procédure inédite apparaît : la « procédure d’escalade », ainsi définie à l’article 1er : « procédure permettant, au sein de l'organisme assujetti et, le cas échéant, de l'ensemble du groupe, d'assurer à toute personne participant à la mise en œuvre des obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme, en particulier le responsable mentionné à l'article L. 561-32 du Code monétaire et financier, les déclarants et correspondants mentionnés aux articles R. 561-23 et R. 561-24 du même code ou les personnes chargées d'une mission de contrôle interne, un accès effectif et rapide aux informations nécessaires à l'exercice de leurs missions. Cette procédure définit les modalités de prévention et de solution, au besoin par la voie hiérarchique, des éventuels obstacles dans la transmission de ces informations, notamment par toute personne exerçant des activités opérationnelles ou chargée de l'analyse des opérations ».

3. Procédures internes. Ce sont celles visées au I de l’article L. 561-32 du CMF ; elles doivent préciser (i) les modalités d'élaboration de la classification des risques, (ii) les mesures de vigilance mises en œuvre à l'égard de la clientèle, (iii) les modalités de définition du profil de risque de chaque relation d'affaires, (iv) les modalités de mise à jour du profil de risque à une fréquence définie selon une approche par les risques, (v) les modalités de l'examen renforcé mentionné à l'article L. 561-10-2 du CMF, (vi) les modalités d'information et de déclaration à Tracfin, (vii) les modalités de partage des informations nécessaires à la LCB-FT, (viii) les modalités de protection de la confidentialité des déclarations de soupçon et (ix) les modalités de protection de la confidentialité des déclarations [7] .

Outre une disposition propre à la tierce introduction (article 8 : modalités de mise en œuvre de l’entrée en relation d’affaires, modalités de sélection des tiers introducteurs, modalités de contrôle par l’assujetti), l’arrêté du 6 janvier 2021 consacre deux importants articles (9 et 10) aux conditions de l’externalisation des obligations de vigilance (ainsi que de gel des avoirs et d’interdiction de mise à disposition), notamment concernant les clauses du contrat d’externalisation – dont on connaît la sensibilité –, désormais détaillées, là où, en droit commun du contrôle interne, il faut les recomposer à partir des articles 231 à 240 de l’arrêté du 3 novembre 2014.

Les organismes assujettis doivent ainsi préciser les dix points suivants dans leur contrat d’externalisation [8] :

– les tâches qu'ils ont confiées au prestataire externe ainsi que les procédures qu'ils ont définies pour la mise en œuvre de ces tâches et que le prestataire s'engage à respecter ;

– l'obligation pour le prestataire externe de les informer de tout évènement susceptible d'avoir un impact sensible sur sa capacité à exercer les tâches externalisées de manière efficace et conforme au droit en vigueur ;

– leur obligation de fournir au prestataire les informations nécessaires à l'exercice des tâches qui lui sont confiées ;

– l'obligation pour le prestataire externe de prévoir des mécanismes de secours permettant d'assurer la continuité du service lorsque celle-ci n'est plus assurée en raison d'un incident grave ou, lorsque la prestation externalisée porte sur la mise en œuvre des obligations relatives au gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques, de tout incident. À défaut d'une telle obligation prévue au contrat, les organismes assujettis disposent eux-mêmes de tels mécanismes de secours ;

– l'obligation pour le prestataire externe de leur transmettre toute information nécessaire aux fins de la mise en œuvre de leurs obligations, notamment en matière déclarative et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques ainsi que les modalités de cette transmission ;

– les exigences en matière de formation que le prestataire s'engage à respecter pour la mise en œuvre des tâches externalisées ;

– les modalités de protection des informations confidentielles, notamment celles qui sont soumises au secret professionnel ;

– les modalités du contrôle qu'ils exercent sur le prestataire externe, notamment l'obligation pour celui-ci de leur permettre d'accéder, en tant que de besoin, le cas échéant sur place et dans le respect des réglementations relatives à la communication d'informations, à toute information relative aux services externalisés ;

– l'interdiction de modifier substantiellement la prestation externalisée sans l'accord préalable de l'organisme assujetti, et

– l'obligation pour le prestataire externe de donner accès à l’ACPR, ou à toute autorité étrangère équivalente, aux informations sur les activités externalisées nécessaires à l'exercice de sa mission, y compris sur place.

4. Dispositifs et procédures internes en matière de gel des avoirs et d’interdiction de mise à disposition. Pour mémoire, l’arrêté du 6 janvier 2021 permet de mettre en œuvre les dispositions issues de l’ordonnance n° 2020-1342 du 4 novembre 2020 renforçant le dispositif de gel des avoirs et d’interdiction de mise à disposition ; dispositions auxquelles on renvoie.

5. Contrôle interne. Il est précisé que le contrôle interne spécial (LCB-FT) de l’arrêté du 6 janvier 2021 « s’intègre » au contrôle interne général de l’arrêté du 3 novembre 2014 : « Le dispositif de contrôle interne mentionné aux articles R. 561-38-3 et R. 562-1 du Code monétaire et financier (CMF) s'intègre dans le dispositif de contrôle interne des organismes assujettis régi par les dispositions du régime dit ˝solvabilité II˝, du règlement délégué du 10 octobre 2014 et de l'arrêté du 3 novembre 2014 susvisés » [9] . On comprend par-là que le spécial ne déroge ni se substitue au général, mais s’y loge et s’y ajoute.

L’article 13 de l’arrêté du 6 janvier 2021 en est une bonne illustration, lorsqu’il décline, en matière de LCB-FT, les dispositions générales de contrôle interne figurant à l’article 11 de l’arrêté du 3 novembre 2014. Aussi bien, ce dispositif a notamment pour objet de vérifier :

– que les opérations exécutées par les organismes assujettis, ainsi que leur organisation et leurs dispositifs de LCB-FT (et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques) sont conformes aux procédures internes qu'ils ont définies et aux dispositions mentionnées au II de l'article L. 561-36-1 du CMF ;

– le respect de la politique mentionnée à l'article L. 561-4-1 et définie par l'organe de surveillance ainsi que des décisions et instructions prises pour sa mise en œuvre par les dirigeants ;

– la qualité de l'information destinée au responsable de la mise en œuvre du dispositif de LCB-FT, aux dirigeants, à l'organe de surveillance, à l'ACPR, à Tracfin et au ministre chargé de l'Économie ;

– l'exécution dans des délais raisonnables, ou immédiatement pour les incidents au sens des articles R. 561-38-4 et R. 562-1 du CMF, des mesures correctrices mises en place pour remédier aux dysfonctionnements constatés en matière de LCB-FT (et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques), y compris les incidents et insuffisances mentionnés à ces articles et à l'article R. 561-38-8 du même Code ;

– la mise en place, par les filiales et succursales des organismes assujettis établies à l'étranger, de dispositifs de contrôle de la conformité de leurs opérations aux règles locales en matière de LCB-FT (et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques) ; et

– la qualité des systèmes d'information et de communication qui concourent à la mise en œuvre des obligations relatives à la LCB-FT (et de gel des avoirs et d'interdiction de mise à disposition ou d'utilisation des fonds ou ressources économiques).

On note encore que deux fonctions nouvelles (encore !) sont créées au sein du contrôle interne : un responsable du contrôle permanent et un responsable du contrôle périodique du dispositif de LCB-FT et de gel des avoirs et d’interdiction de mise à disposition ou d’utilisation des fonds ou ressources économiques [10] .

6. Dispositions applicables aux groupes. Les articles 20 à 24 de l’arrêté de 6 janvier 2021 méritent d’être lus en parallèle des lignes directrices de l’ACPR, publiées le 2 mars 2020, relatives au pilotage consolidé du dispositif de LCB-FT des groupes, soulignant que « la nécessité pour les groupes bancaires et assurantiels, en particulier ceux actifs à l’international, d’organiser leur dispositif de LCB-FT à l’échelle du groupe et de contrôler les diligences mises en œuvre en la matière par l’ensemble des succursales et filiales a, depuis de nombreuses années, été identifiée comme un axe essentiel du renforcement de la LCB-FT » (n° 3).

7. Rôle des dirigeants. En substance, on retient que les dirigeants, ainsi que l’organe de surveillance, sont comptables de l’entier droit français et européen de la LCB-FT : « La responsabilité de s'assurer que l'organisme assujetti ou, le cas échéant, l'entreprise mère de groupe se conforme aux obligations prévues par les dispositions du II de l'article L. 561-36-1 du code monétaire et financier incombe aux dirigeants et à l'organe de surveillance. Ceux-ci doivent disposer de l'ensemble des informations nécessaires à cet effet. L'organe de surveillance et, le cas échéant, le comité des risques mentionné à l'article L. 511-89 du même code déterminent la nature, le volume, la forme et la fréquence des informations qui leur sont transmises » [11] .

Il faut enfin remarquer que l’arrêté du 6 janvier 2021 donne de nouvelles définitions des dirigeants et de l’organe de surveillance (sans doute celles figurant dans l’arrêté du 3 novembre 2014 ne sont-elles pas satisfaisantes) : les premiers sont « les personnes qui assurent la direction effective de l'organisme assujetti au sens des dispositions du a de l'article 10 de l'arrêté du 3 novembre 2014 susvisé, le directeur général et les directeurs généraux délégués, le directeur général unique ou les membres du directoire ou toute autre personne exerçant des fonctions de direction équivalentes », tandis que le second vise « le conseil d'administration, le conseil de surveillance ou tout autre organe exerçant des fonctions de surveillance équivalentes » [12] .

Achevé de rédiger le 27 janvier 2021.