L’Autorité de contrôle prudentiel et de résolution (ACPR) joue un rôle déterminant en matière de lutte contre le blanchiment et le financement du terrorisme (LCB-FT). Avec des positions, des recommandations ou encore des lignes directrices destinées à clarifier les attentes opérationnelles au regard des dispositions législatives et réglementaires en vigueur. Mais l’ACPR contrôle aussi. À l’issue de ses procédures, la Commission des sanctions de l’ACPR a vocation à sanctionner les professionnels en cas de manquements disciplinaires à ces obligations. Rendues publiques sur le site de l’autorité, ses décisions apportent des enseignements essentiels pour les acteurs concernés.
Avec le temps, les exigences de l’ACPR relatives à la mise en œuvre des obligations de vigilance se sont renforcées. Les professionnels ont gagné en maturité si bien que l’ACPR n’est aujourd’hui plus appelée à sanctionner des défauts de mise en place de dispositifs LCB-FT. Les sanctions portent désormais principalement sur l’adéquation et l’efficacité des dispositifs LCB-FT.
Un dispositif formel n’est pas suffisant
L’un des écueils fréquemment observés chez les professionnels réside dans l’idée erronée que la seule mise en place d’un dispositif formel et complet suffit à satisfaire leurs obligations LCB-FT. Or, l’ACPR ne se contente pas d’outils standards : ses contrôles portent sur le caractère réellement adapté des mesures mises en œuvre en fonction des typologies de clientèle et des spécificités des activités exercées.
Les décisions de la Commission des sanctions mettent en relief les insuffisances de certains établissements dans le suivi continu des relations d’affaires. Si les mesures de vigilance sont à présent quasi systématiquement mises en œuvre au moment de l’entrée en relation d’affaires et du KYC (Know Your Customer), l’ACPR insiste sur l’impératif de vigilance constante, au cours de la relation d’affaires, impliquant une mise à jour régulière et documentée des dossiers clients. La Commission des sanctions rappelle par ailleurs que l’obligation de connaissance du client doit conduire à ajuster en permanence la classification des risques, ainsi que le niveau de vigilance appliqué, en fonction de l’évolution de l’activité, des revenus ou encore du statut de personne politiquement exposée (PPE).
Dans cette perspective, la Commission des sanctions est venue clarifier les obligations des établissements à l’égard des prestataires externes fournissant des outils automatisés de détection. Les entités assujetties doivent s’assurer que ces prestataires procèdent à une actualisation régulière des données utilisées, en particulier en ce qui concerne le filtrage des PPE et la prise en compte des informations négatives (adverse news) ou des « faux positifs ». Elles restent en tout état de cause responsables à l’égard de l’ACPR du caractère adapté ou non et du paramétrage de ces outils. L’ACPR s’assure également du caractère effectif, complet et régulier des mesures de contrôle interne.
Il faut jouer le jeu avec Tracfin
Une attention particulière est par ailleurs portée ces dernières années sur la célérité et le caractère systématique du traitement des alertes et des signalements auprès de Tracfin. L’absence de délai impératif fixé par les textes pour procéder à la déclaration de soupçon ne doit pas conduire, selon l’ACPR, à retarder le traitement de ces dossiers. L’ACPR attend des établissements une meilleure réactivité, car ces déclarations représentent aujourd’hui un moyen indispensable pour prévenir et traiter certaines infractions opaques et difficilement décelables par les autorités judiciaires.
Dans un contexte géopolitique complexe, l’ACPR accentue aussi son attention sur la détection des personnes visées par des mesures de gel des avoirs et sanctionne systématiquement les lacunes des dispositifs. L’autorité exige une mise à jour immédiate des dispositifs et un traitement sans délai des alertes. En pratique, les établissements se reposent souvent sur des outils informatisés. L’ACPR fait cependant peser la responsabilité sur les établissements financiers ou les assureurs si les outils de filtrage automatisés s’avèrent inefficients. Les assujettis doivent en conséquence veiller à ce que leurs prestataires opèrent un filtrage quotidien des personnes figurant sur les listes des gels des avoirs et prennent en compte les variations d’orthographe. Là encore, le simple fait de recourir à un prestataire ou des bases de données ne doit pas conduire les établissements à considérer que leurs obligations de vigilance sont de ce fait mises en œuvre de façon satisfaisante.
Autre fait marquant : alors que les premières décisions de la Commission des sanctions visaient exclusivement des établissements bancaires et des assureurs, elles s’étendent à présent aux nouveaux acteurs tels que les établissements de monnaie électronique ou les établissements de crédit spécialisé. Une mise en garde particulière est à cet égard adressée aux prestataires de services sur crypto-actifs (PSCA). L’ACPR intensifie les procédures de contrôle à l’attention des nouveaux acteurs du secteur des actifs numériques et il ne fait guère de doute que l’extension de ce champ d’intervention donnera lieu à des sanctions à venir.
L’arbitraire, parfois au rendez-vous
Au-delà des motifs des sanctions, il convient aussi de s’intéresser aux sanctions elles-mêmes. À plusieurs reprises l’ACPR a considéré que les insuffisances constatées étaient d’autant moins compréhensibles que les entités contrôlées bénéficiaient de l’organisation et des moyens techniques et humains du groupe auquel elles appartenaient. La simple implémentation du dispositif LCB-FT au niveau du groupe ne saurait toutefois, à elle seule, satisfaire aux exigences légales et réglementaires, lesquelles imposent que les mesures de vigilance soient dûment adaptées aux spécificités opérationnelles et aux risques inhérents à l’activité de chaque entité assujettie.
Au titre des facteurs atténuants du montant de sanction, la Commission des sanctions prend régulièrement en compte les efforts de remédiation des établissements, sans que ceux-ci ne soient pour autant retenus comme une cause exonératoire de responsabilité. Entre effort de contrition à l’égard de l’autorité ou gage de pérennité et de stabilité de l’établissement, nul doute que la mise à jour ou le renforcement des dispositifs LCB-FT constitue le meilleur, voire l’unique, moyen d’atténuer le montant de la sanction prononcée. La portée des mesures de remédiation est d’autant plus importante que la graduation du quantum des sanctions reste encore très opaque. Cette absence de lisibilité des critères retenus par l’ACPR pour fixer le montant de la sanction constitue d’ailleurs un facteur d’incertitude juridique et laisse parfois un goût d’arbitraire.
Enfin, à l’inverse d’autres autorités appelées à contrôler les dispositifs de lutte contre le blanchiment comme l’Autorité des marchés financiers (AMF), l’ACPR ne s’attache pas au caractère représentatif et proportionnel des échantillons de dossiers analysés dans le cadre des contrôles. L’ACPR retient régulièrement des manquements d’ordre général à partir de quelques insuffisances seulement. Compte tenu de la publicité accordée aux décisions de l’ACPR et des enjeux contractuels et commerciaux qui en résultent, il est parfois difficile pour les établissements contrôlés d’être ainsi stigmatisés sur la base de quelques dossiers seulement, alors que la très grande majorité de leurs dossiers répond par ailleurs rigoureusement aux dispositions légales et réglementaires et aux attentes de l’ACPR.
Moins de sanctions, plus visibles...
Les dernières années ont été marquées par une baisse significative du nombre de sanctions prononcées par l’ACPR au titre de la lutte contre le blanchiment. Loin de traduire un désintérêt, cette diminution révèle l’élévation du niveau de conformité des établissements. Dans leur grande majorité, ils ont atteint intéresser un seuil d’exigence satisfaisant dans la mise en œuvre de leurs obligations LCB-FT. Ainsi, la plupart des contrôles menés par l’ACPR ne conduisent pas à une saisine de la Commission des sanctions. En revanche les établissements qui n’appliquent pas scrupuleusement les recommandations dispensées à l’occasion d’une première procédure de contrôle de telle sorte que de nouvelles insuffisances sont constatées ultérieurement à l’occasion d’une phase de suivi de l’ACPR ou d’une nouvelle procédure de contrôle sont sanctionnés sans détour.
La diminution actuelle du nombre de sanctions invite par ailleurs les établissements à faire preuve d’une vigilance accrue. En effet, la rareté des décisions rend celles-ci d’autant plus visibles et marquantes, amplifiant leur impact en termes d’image et de réputation. Plus exceptionnelles, les sanctions de la Commission n’en revêtent que davantage de gravité.
