Nouvelle condamnation d’un établissement de crédit par l’ACPR

La Commission des sanctions de l’Autorité de contrôle prudentiel et de résolution (ACPR) poursuit ses activités en cette année 2021 [1] . Plusieurs décisions de condamnation se sont ainsi succédé ces six derniers mois à l’encontre d’un intermédiaire en financement participatif [2] , d’une succursale d’établissement de crédit [3] , d’une entreprise d’assurance [4] , d’un établissement de crédit [5] et enfin d’une caisse de crédit municipal [6] .

La décision intéressant l’établissement de crédit, rendue le 7 mai 2021 et concernant Carrefour Banque SA (CBSA), retiendra ici notre attention [7] . Pour mémoire, créée en 1980 par le groupe Carrefour, la société CBSA a été agréée en qualité de banque en 1988. Son capital est détenu par la société Carrefour (60 %) et par BNP Paribas Personal Finance (40 %), cette dernière étant intégralement détenue par BNP Paribas. Son offre, mise en place principalement afin de soutenir les ventes de l’enseigne, se compose de crédits renouvelables et de prêts personnels, mais aussi de produits d’épargne et d’assurance.

Cette banque se voit en l’occurrence infliger un blâme et une sanction pécuniaire de 1,5 million d’euros pour des manquements relatif à l’organisation et le contrôle interne du dispositif de LCB-FT, ainsi que la mise en œuvre des obligations de vigilance.

L’organisation et le contrôle interne du dispositif de LCB-FT

Des griefs sont relevés par la Commission des sanctions de l’ACPR concernant les moyens humains dédiés au traitement des alertes ; le dispositif d’analyse des alertes déclenchées par l’outil de surveillance LCB-FT ; l’information du conseil d’administration en matière de LCB-FT ; le contrôle permanent de second niveau du dispositif de LCB-FT et enfin les procédures internes. Nous reprendrons ici, à titre d’exemples, deux de ces griefs.

En premier lieu, concernant les moyens humains dédiés au traitement des alertes, la décision rappelle qu’il résulte de l’article 51 de l’arrêté du 3 novembre 2014 [8] que les entreprises assujetties doivent se doter « selon des modalités adaptées à leur taille, à la nature de leurs activités et aux risques identifiés par la classification des risques de blanchiment de capitaux et de financement du terrorisme, de moyens humains suffisants pour analyser les anomalies détectées par les dispositifs susmentionnés ».

Or, selon le grief 1, CBSA ne s’était pas dotée de moyens humains suffisants pour traiter les alertes déclenchées par son dispositif de LCB-FT. En effet, au moment du contrôle, son pôle LCB-FT était simplement composé de 6,8 équivalents temps plein, répartis en trois niveaux d’analyse. Cela avait alors eu des conséquences sur le traitement. Ainsi, au 30 septembre 2019, soit plus d’un an après la mise en œuvre par CBSA d’un premier plan de remédiation, on pouvait relever un stock de 100 000 alertes non traitées, ainsi que 900 dossiers susceptibles de faire l’objet d’une déclaration de soupçon et qui devaient être traités par la seule personne en charge des examens renforcés et des déclarations de soupçon. Cette insuffisance des moyens humains affectés au traitement des alertes est également illustrée par le délai moyen élevé de transmission des déclarations de soupçon à Tracfin [9] . Le grief est donc entièrement fondé.

En second lieu, concernant l’information du conseil d’administration en matière de LCB-FT, on rappellera qu’il résulte de l’article R. 561-38-6 du Code monétaire et financier qu’« au moins une fois par an, le conseil d'administration, le conseil de surveillance ou tout autre organe exerçant des fonctions de surveillance des personnes mentionnées au premier alinéa de l'article R. 561-38-4 est informé de l'activité et des résultats des contrôles internes mentionnés à ce même article ainsi que des insuffisances mentionnées au 1° de celui-ci […] ». Cette obligation est précisée par les articles 243 et 246 de l’arrêté du 3 novembre 2014.

Or, pour le grief 3, fondé sur ces dispositions, le conseil d’administration de CBSA n’avait pas été tenu suffisamment informé des carences dans le traitement des alertes LCB-FT. En effet, en 2018, cette instance, qui s’était réunie à 7 reprises, n’avait été informée qu’une seule fois de l’existence d’un stock d’alertes non traitées. De surcroît, l’information qui lui avait été communiquée à ce sujet n’était que partielle ; aucun élément quantitatif sur le stock d’alertes non traitées n’avait ainsi été fourni.

CBSA soutenait, cependant, qu’aucun texte n’impose que des justifications des informations données au conseil d’administration soient formalisées dans les procès-verbaux de ses réunions. La Commission des sanctions considère, pour sa part, qu’il est constant que ces derniers doivent mentionner nécessairement les informations qui sont communiquées au conseil d’administration. Or, en tout état de cause, CBSA n’apporte aucun élément qui permette de penser que, malgré l’absence de mention dans les procès-verbaux des réunions du conseil d’administration, les informations sur les carences du dispositif de traitement des alertes auraient été données à celui-ci selon d’autres modalités. Le grief 3 est donc, à son tour, jugé entièrement fondé.

La mise en œuvre des obligations de vigilance

Un certain nombre de griefs sont caractérisés par la Commission des sanctions concernant l’obligation de connaissance de la clientèle ; le dispositif de détection des personnes politiquement exposées et la mise en œuvre des mesures de vigilance complémentaires ; l’obligation d’examen renforcé ; le respect des obligations de déclaration à Tracfin et enfin le dispositif de gel des avoirs. À nouveau, nous nous envisagerons deux illustrations.

D’abord, concernant l’obligation de connaissance de la clientèle, il est bien connu que l’article L. 561-5-1 du Code monétaire et financier pose un principe essentiel : l’obligation, avant d’entrer en relation d’affaires, de recueillir les informations « relatives à l'objet et à la nature de cette relation et tout autre élément d'information pertinent ». L’article R. 561-12 précise cette obligation.

Or, en l’occurrence, il apparaissait que les éléments de connaissance des clients en relation d’affaires que recueillait CBSA au moment du contrôle sur place étaient insuffisants. Par exemple, aucun document justificatif des revenus ou du patrimoine n’était exigé lors de l’ouverture d’un compte C-Zam [10] pour les clients dont l’établissement considérait pourtant qu’ils présentaient un profil de risque élevé. En outre, les éléments effectivement recueillis étaient parfois incohérents : ainsi, 696 clients titulaires de comptes C-Zam, avaient déclaré un revenu mensuel supérieur à 10 000 euros, alors que cela était incompatible avec leur situation professionnelle (employés, demandeurs d’emploi, étudiants, etc.). La Commission des sanctions déclare alors que « si les établissements assujettis disposent d’une marge d’appréciation pour la mise en œuvre de leurs obligations en matière de connaissance des clients, ils n’en sont pas moins tenus de mettre en place un dispositif efficace », afin d’être en mesure de détecter les opérations devant être déclarées à Tracfin. Le grief est par conséquent jugé fondé. Les actions correctives mises en œuvre postérieurement sont, pour leur part, jugées sans incidence.

Ensuite, concernant le respect des obligations de déclarations à Tracfin, plusieurs manquements sont relevés par la Commission des sanctions. Il en va ainsi, d’une part, pour des défauts de déclaration. Par exemple, la Commission relève dans un nombre élevé de dossiers que le compte C-Zam, compte destiné à un usage personnel, était utilisé dans le cadre d’une activité professionnelle susceptible d’avoir été dissimulée. De même, dans plusieurs dossiers, CBSA aurait pu soupçonner des fraudes aux prestations sociales. Or, au final, aucune déclaration de soupçon n’avait été opérée auprès de Tracfin dans les cas précités. D’autre part, la qualité de certaines déclarations de soupçon est critiquée. Ainsi, 13 des 26 déclarations réalisées par l’établissement et analysées par la mission de contrôle comportaient des éléments d’analyse insuffisants. Enfin, la tardiveté de certaines déclarations sont relevées. Le délai moyen de transmission des déclarations de soupçon à Tracfin, calculé par la mission de contrôle, était de 104 jours en 2018 et de 180 jours au premier semestre 2019.

CBSA ne conteste pas le grief. Elle souligne cependant que le nombre de déclaration de soupçon que le collège analyse comme tardives est très supérieur à celui que mentionne le rapport de contrôle qui n’en retenait que six. La Commission rappelle pour sa part que le collège « est seul compétent pour qualifier les faits reprochés à un organisme mis en cause et pour retenir à son encontre des griefs » [11] .

Une méconnaissance du principe non bis in idem ?

Tout en reconnaissant la quasi-totalité des manquements qui lui sont reprochés, CBSA soutenait que la Commission des sanctions doit tenir compte du fait que ces manquements résultent, pour l’essentiel, de la commercialisation de son compte C-Zam, qui a entraîné une progression considérable des alertes à laquelle elle n’a pas été immédiatement à même de faire face et qui a pesé, en aval, sur le respect de ses autres obligations de vigilance et sur ses obligations de déclaration à Tracfin. La société considère alors qu’« un organisme assujetti ne peut, sans méconnaissance du principe non bis in idem, être sanctionné pour plusieurs manquements ayant la même origine ».

Cet argument est cependant rejeté par la Commission des sanctions du superviseur. Elle se fonde ici sur la jurisprudence du Conseil d’État. En effet, selon ce dernier [12] , « […] si une sanction administrative reposant sur plusieurs manquements doit être conforme au principe de proportionnalité, le principe du non bis in idem découlant du principe de nécessité des délits et des peines garanti par l'article 8 de la Déclaration des droits de l'homme et du citoyen de 1789 ne fait pas obstacle à ce que, dans le cadre d'une même poursuite conduisant à une même décision de sanction, plusieurs manquements distincts puissent résulter de mêmes faits ». Ce n’est pas la première fois que l’ACPR rappelle cette solution [13] .

En outre, il est noté que la poursuite ne reprochait pas à CBSA les mêmes faits sous plusieurs qualifications mais les conséquences d’un fait (en l’occurrence le défaut d’anticipation des risques de BC-FT résultant de la commercialisation de C-Zam) sur le traitement des alertes (griefs 1 et 2) et sur le respect des obligations déclaratives (griefs 9 et 11).

Il en résulte alors que rien ne fait obstacle à ce que les manquements qui fondent les griefs concernés soient les uns et les autres sanctionnés.