Dans le cadre de ses priorités de supervision pour 2025, l’Autorité des marchés financiers (AMF) a mené une série de contrôles thématiques « SPOT » (Supervision des Pratiques Opérationnelle et Thématique) portant sur les dispositifs d’enregistrement des conversations téléphoniques applicables aux activités de gestion collective et aux services d’investissement exercés par les sociétés de gestion de portefeuille (SGP). Les contrôles, qui ont porté sur un panel de cinq SGP de profil et de tailles différents, ont couvert la période allant du 1er janvier 2023 au 31 décembre 2025.
Comme tout prestataire de services d’investissement (PSI), les SGP sont soumises à une obligation générale d’enregistrement et de conservation des données relatives à tout service fourni et transaction effectuée. Cette obligation couvre notamment l’enregistrement des conversations téléphoniques1 susceptibles de donner lieu à la fourniture d’un service d’investissement ou à la conclusion d’une transaction.
La synthèse de l’AMF est l’occasion de formuler des constats, de préciser certains enjeux (1) et d’analyser certains thèmes (2) sur lesquels portait son contrôle.
La synthèse de ses contrôles SPOT est l’occasion pour l’AMF de constater que, dans les pratiques de passation d’ordres des SGP, le canal téléphonique occupe aujourd’hui une place secondaire2, sous l’effet de la généralisation des outils électroniques de négociation. Cette évolution ne doit cependant pas conduire à en sous-estimer les risques opérationnels et à minorer les enjeux de conformité. Les transactions conçues par téléphone impliquent en effet des exigences spécifiques d’enregistrement, de conservation et de traçabilité, dont le respect repose sur des dispositifs souvent plus complexes que celles réalisées via des systèmes électroniques, qui intègrent des fonctionnalités d’horodatage, d’archivage et de piste d’audit. « Dès lors, bien que quantitativement moins fréquent, le canal téléphonique présente un niveau de risque opérationnel et de non-conformité potentiellement accru, justifiant le maintien d’une vigilance particulière dans les dispositifs de contrôle interne » (p. 3). De plus, la faible fréquence d’utilisation du téléphone ne se traduit pas nécessairement par une diminution du risque. Au contraire, le caractère exceptionnel de ce canal peut contribuer à une moindre maîtrise opérationnelle et accroître le risque de non-conformité, ce qui justifie le maintien d’un niveau de vigilance élevé au sein des dispositifs de contrôle interne de la SGP.
Par ailleurs, les enregistrements de conversations téléphoniques contiennent des données à caractère personnel et doivent, à ce titre, être traités conformément aux exigences du règlement général sur la protection des données (RGPD)3. Or, comme le souligne le régulateur, l’articulation des exigences issues de la réglementation financière et celles résultant du RGPD apparaît délicate en termes de périmètre de communications à enregistrer et de durée de conservation des enregistrements : alors que la règlementation financière retient une approche extensive, le RGPD repose sur une approche restrictive, seules les données strictement nécessaires au regard des finalités poursuivies étant collectées et conservées pour une durée proportionnée. Il en résulte une tension normative qui suppose « la mise en place de politiques finement calibrées permettant de concilier ces exigences, notamment au moyen d’une définition précise du périmètre des communications enregistrées et d’une justification documentée des durées de conservation retenues » (p. 6).
Les contrôles SPOT réalisés ont porté sur différentes thématiques qui ont permis de mettre en évidence des bonnes et mauvaises pratiques des SGP en matière d’enregistrement des conversations téléphoniques.
Les SGP doivent se doter d’une politique d’enregistrement et de conservation des enregistrements téléphoniques4, mise à jour régulièrement et validée par un dirigeant. Ce dernier peut être un dirigeant responsable ou un comité auquel il participe, par exemple, le comité de direction ou le comité de conformité et de contrôle interne (RCCI).
La mission de contrôle a analysé le contenu de cette politique. Celle-ci doit mentionner les activités concernées par les enregistrements téléphoniques. Une pratique approuvée consiste, à cet égard, à détailler les fonctions des personnes dont le poste téléphonique est enregistré en motivant les raisons de l’enregistrement pour chacune des fonctions. En revanche, ne pas regrouper en une seule politique toutes les dispositions applicables au dispositif d’enregistrement des conversations téléphoniques n’est pas une bonne pratique. Une telle organisation est en effet susceptible de rendre plus difficile l’identification exhaustive des exigences applicables, leur déclinaison opérationnelle ainsi que le suivi de leur mise en œuvre et de leur contrôle. À l’inverse, le regroupement des règles et procédures applicables au sein d’un même document facilite l’appropriation du dispositif par les personnes concernées, contribue à assurer la cohérence des différentes exigences et permet de disposer d’un référentiel aisément accessible et actualisable. Il facilite également, le cas échéant, la démonstration auprès de l’AMF de l’existence et de l’effectivité du dispositif mis en place par la SGP.
La politique doit également indiquer les processus d’archivage et de conservation des enregistrements. S’agissant de la durée de conservation de ceux-ci, l’AMF a identifié comme bonne pratique le fait de fixer la durée de conservation de tous les enregistrements téléphoniques à cinq ans, en prévoyant la possibilité de l’étendre à sept ans en cas de demande de l’autorité compétente5. La politique doit en outre mentionner le processus de suppression des enregistrements à l’issue de la durée de conservation retenue. La mission de contrôle a en effet constaté qu’aucune SGP du panel n’avait formalisé ce processus de manière explicite dans sa politique. Elle retient comme bonne pratique le fait pour la SGP de disposer d’un processus de suppression automatique des enregistrements au-delà du délai de conservation fixé dans sa politique. L’automatisation contribue à garantir le respect effectif de la durée de conservation applicable. Elle permet également de réduire la dépendance à l’égard d’interventions manuelles et, partant, le risque d’erreur ou d’omission dans la suppression des données concernées. La mise en œuvre d’un dispositif automatisé facilite, en outre, le contrôle et la traçabilité du respect des règles de conservation et contribue ainsi à renforcer la maîtrise du dispositif de contrôle interne de la SGP.
Sur le champ d’application des enregistrements, l’AMF a relevé une incertitude portant sur le périmètre des services concernés6 par l’obligation d’enregistrement des conversations téléphonique, car l’article L. 533-10, III du Code monétaire et financier vise celles qui sont relatives à la fourniture de certains services mais aussi celles qui sont « destinées » à la fourniture de ces services, même si elles n’aboutissement pas in fine à la conclusion d’une transaction. Selon le régulateur, « cet enregistrement devra être effectué selon une approche par les risques déterminée par la SGP pour distinguer les conversations liées à la fourniture du service de conseil en investissement devant ou non être enregistrées, selon l’hypothèse qu’elles peuvent ou non donner lieu à la conclusion d’une transaction. Cette approche devra être justifiée, formalisée dans le cadre de sa politique d’enregistrement des conversations téléphoniques et documentée dans sa mise en œuvre » (p. 10).
La mission a porté sur le respect des dispositions de la politique quant aux lignes fixes effectivement enregistrées, les téléphones portables effectivement enregistrés et l’enregistrement des conversations téléphoniques relatives aux activités de gestion collective, de gestion sous mandat et de réception-transmission d’ordres (RTO) pour les SGP qui étaient agréées pour fournir ces services. Toutes les SGP contrôlées avaient étendu leur dispositif d’enregistrement aux téléphones portables (terminaux professionnels ou terminaux personnels avec un usage professionnel ou une combinaison des deux). Pour les cinq SGP, les appels enregistrés étaient exclusivement ceux émis via une application mobile reliée au système de téléphonie de la société. Ainsi, le dispositif d’enregistrement reposait sur le fait que les collaborateurs utilisaient effectivement cette application pour téléphoner, et non la fonctionnalité native du téléphone ou d’une autre application. Or, aucune SGP du panel n’avait réalisé de contrôle pour s’en assurer. L’AMF relève en conséquence comme mauvaise pratique le fait de ne pas contrôler l’installation et l’utilisation par les collaborateurs équipés d’un téléphone portable de l’application permettant l’enregistrement des conversations. En effet, l’absence de tels contrôles est susceptible de compromettre l’effectivité du dispositif d’enregistrement, dès lors qu’elle ne permet pas à la SGP de s’assurer que l’outil requis est effectivement installé, activé et utilisé dans les conditions prévues par son dispositif interne. De tels contrôles contribuent ainsi à limiter le risque que des conversations soumises à une obligation d’enregistrement ne soient pas enregistrées.
L’AMF a analysé les pratiques relatives à l’accès, la confidentialité, l’intégrité et la conservation des enregistrements. En particulier, s’agissant de l’accès aux enregistrements par les personnes autorisées par la politique (RCCI ou dirigeant), l’AMF identifie comme mauvaise pratique le fait de ne pas disposer d’un accès autonome et direct mais de devoir passer par un intermédiaire (service informatique ou service de téléphone), ce qui peut retarder les diligences devant être réalisées rapidement relatives à un incident ou un litige relatif à un ordre. En revanche, établir un registre de suivi des demandes d’accès aux enregistrements par les collaborateurs enregistrés constitue une pratique pertinente.
Pour l’accès aux enregistrements par les collaborateurs enregistrés, elle note comme bonne pratique l’établissement d’un registre de suivi des demandes d’accès aux enregistrements par les collaborateurs enregistrés. La mise en place d’un tel registre permet en effet d’assurer la traçabilité des demandes et la maîtrise du dispositif. Elle permet à la SGP de disposer d’une vision consolidée des accès sollicités aux enregistrements et de vérifier que ceux-ci sont accordés dans le respect des conditions et procédures applicables. Un tel dispositif contribue également à renforcer la maîtrise des accès à des données sensibles et facilite les contrôles a posteriori ainsi que, le cas échéant, la démonstration auprès de l’AMF de l’effectivité du dispositif mis en place par la SGP.
La mission de contrôle a également analysé les plans de continuité d’activité des SGP afin de vérifier s’ils comprenaient des mesures à prendre en cas de défaillance des systèmes d’enregistrement et, plus généralement, du système de téléphonie de la SGP (incidents, pannes). Elle a noté que deux des SGP n’avaient pas inclus de scénarios de panne dans leur plan de continuité. Or, l’identification préalable de tels scénarios permet de définir les mesures de remédiation à mettre en œuvre, les responsabilités associées et les modalités de reprise du dispositif. Elle contribue ainsi à renforcer la résilience opérationnelle de la SGP et à limiter le risque de perte ou de non-enregistrement des communications soumises aux exigences d’enregistrement.
L’information et la formation sont également essentielles à l’effectivité du dispositif d’enregistrement des conversations téléphoniques. Celui-ci repose sur l’information des personnes extérieures (clients7 et, plus largement, les interlocuteurs) aux SGP mais aussi de leurs collaborateurs8. Aussi constitue une mauvaise pratique le fait de ne pas faire figurer l’enregistrement des conversations téléphoniques dans le règlement intérieur ou le code de déontologie de la SGP. L’intégration de ces règles dans ces documents internes de référence permet de porter explicitement à la connaissance des collaborateurs l’existence du dispositif, son champ d’application ainsi que les obligations qui leur incombent. Cette formalisation contribue également à assurer une meilleure appropriation du dispositif par les collaborateurs, et à limiter le risque de pratiques divergentes ou de contournement du dispositif, et de faciliter, le cas échéant, la démonstration par la SGP qu’elle a effectivement informé les collaborateurs des obligations auxquelles ils sont soumis.
L’obligation de formation des collaborateurs n’est expressément prévue que par le règlement délégué MIF 29, de sorte qu’elle ne vise que les SGP fournissant des services d’investissement ou prenant en charge les ordres de souscription et de rachat des parts de fonds. Toutefois, l’AMF considère que la mise en place d’actions régulières de sensibilisation parait opportune afin de limiter les risques de non-conformité, y compris pour les SGP non soumises à cette obligation. Elle relève comme bonne pratique, la sensibilisation des nouveaux collaborateurs lors de leur arrivée et, chaque année, l’ensemble du personnel de la SGP aux procédures et au fonctionnement de systèmes d’enregistrement des conversations téléphoniques, en rappelant aux personnes concernées que leurs conversations sont enregistrées.
Le dispositif d’enregistrement des conversations téléphoniques, au regard de ses enjeux en matière de traçabilité des opérations et de preuve, doit également faire l’objet de contrôles adaptés, tant au titre du contrôle permanent10 que du contrôle périodique11 de la SGP. Ces contrôles ont vocation à s’assurer de l’effectivité du dispositif, de sa correcte utilisation par les collaborateurs, ainsi que de la conformité de ses modalités de mise en œuvre aux exigences réglementaires applicables, notamment en matière d’exhaustivité, d’intégrité et de conservation des enregistrements. L’AMF relève comme bonne pratique le fait de réaliser des contrôles permanents et périodiques sur ce sujet et, en particulier, de procéder à l’écoute d’un échantillon d’ordres passé à la voix tous les trimestres. En revanche, l’absence dans le plan de conformité et de contrôle interne de contrôles portant explicitement sur l’enregistrement des conversations téléphoniques constitue une pratique dont la SGP doit s’abstenir en ce qu’elle est de nature à caractériser une insuffisance de son dispositif de contrôle interne.
Particulièrement utiles aux SGP, les pratiques ainsi identifiées mettent en évidence une pluralité d’approches dans la mise en œuvre des exigences réglementaires qui leur sont applicables. Certaines de ces pratiques sont susceptibles de révéler des écarts au regard du cadre normatif applicable et, le cas échéant, de caractériser des situations de non-conformité susceptibles d’exposer les SGP concernées à des sanctions administratives.
La mise en regard des pratiques observées au sein de plusieurs SGP permet d’identifier les éventuelles divergences dans l’interprétation ou la mise en œuvre des obligations réglementaires et d’en apprécier les implications en matière de conformité. Cette démarche comparative réalisée par l’AMF et la publication de sa synthèse identifiant les bonnes pratiques vise également à favoriser l’harmonisation de celles-ci et à permettre aux acteurs concernés de prendre, en amont de tout contrôle ou de toute procédure susceptible d’être engagée par cette autorité, les mesures correctrices ou préventives nécessaires au respect de leurs obligations réglementaires. n
Sociétés de gestion de portefeuille – Règles d’organisation – Enregistrement des conversations téléphoniques
