Chaque année, l’équivalent de 2 à 5% du PIB mondial est blanchi, ce qui représente entre 715 milliards et 1,87 trillion d’euros par an[1]. Malgré la crise sanitaire, pas question de baisser la garde pour les autorités de contrôle qui s’assurent que les établissements financiers sont bien armés pour lutter contre le blanchiment d’argent. En cas de manquement, elles n’hésitent pas à les sanctionner.

Dans cet article, nous avons procédé à une analyse des sanctions publiées en 2021 par l’Autorité de Contrôle Prudentiel et de Résolution (ACPR), et avons relevé les principales défaillances en matière de Lutte Contre le Blanchiment et le Financement du Terrorisme (LCB-FT) et les difficultés que rencontrent les établissements pour une mise en oeuvre opérationnelle.

En France, l’ACPR a prononcé 11 décisions de sanction envers les établissements assujettis, contre seulement 3 en 2020. La Commission des sanctions cible particulièrement le secteur bancaire (9 des 11 sanctions infligées en 2021) dans le cadre de la LCB-FT.

Quelles sanctions en 2021 ?

Durant l’année passée, les sanctions publiées représentaient un montant total de 16 890 000 €, allant de 120 000 € à 4 000 000 €. Le secteur bancaire représente à lui seul près de 65% de la somme globale.

Sans surprise, la LCB-FT est le thème qui revient le plus dans les sanctions de l’ACPR. Vient ensuite la thématique de gel des avoirs qui, bien que minoritaire en nombre, est la sanction la plus lourde de l’année passée.

Malgré la diversité des domaines d’activité des établissements sanctionnés (établissements de paiement, de crédit, de monnaie électronique, entreprise d’assurance, etc.), et à l’exception d’un avertissement donné, la quasi-totalité des décisions infligées constituent des sanctions pécuniaires avec blâme.

Plus en détail, l’ACPR a exposé 99 griefs que nous avons répartis en 9 thèmes. Les thèmes relatifs aux obligations de vigilance et de contrôle interne reviennent le plus souvent, suivis de près par l’obligation de déclaration à Tracfin et celle concernant le dispositif de surveillance.

Analyse des thèmes de griefs majeurs

Sur l’obligation de vigilance

La connaissance client est au cœur des défaillances relevées par l’ACPR et représente assurément un axe de travail majeur pour les établissements assujettis. En effet, le régulateur pointe notamment le dispositif de détection des PPE (Personnes Politiquement Exposées) qui, dans bien des cas, était défaillant, avec par exemple des clients placés sur une liste de « faux positifs » par erreur, ce qui empêchait la détection ultérieure de leur qualité de PPE.

L’obligation de vigilance implique également la mise en place d’un examen renforcé lorsque l’exposition aux risques d’un client l’impose. Cinq sanctions différentes indiquent spécifiquement des manquements à ce niveau de la part des établissements (7 griefs).

Enjeu majeur de la LCB-FT, l’identification des clients et la vérification de leur identité résume l’importance et les difficultés d’une mise en œuvre effective. L’ACPR a souligné de nombreux manquements liés au simple recueil de l’identité des clients PP (Personnes Physiques) ou des BE (Bénéficiaires Effectifs), et ce malgré les mises en garde régulières des régulateurs. A cet égard, les dernières lignes directrices sur l’identification et la vérification publiées par l’ACPR[2] confirment la volonté du régulateur de fiabiliser le recueil de l’identité des clients et d’en faciliter l’opérationnalisation en élargissant notamment la liste des justificatifs probants au permis de conduire[3].

Sur le contrôle interne

Tout au long de l’année passée, la Commission des sanctions a mis en avant, à travers ses décisions, l’importance des dispositifs de contrôle interne. En effet, nombre de griefs (20) signalent un dispositif de contrôle permanent lacunaire, s’appuyant sur des procédures internes incomplètes. Le régulateur a par exemple noté l’absence de plan annuel de contrôle permanent et de document formalisant les contrôles à conduire sur l’ensemble des activités.

De plus, des insuffisances dans la gouvernance du dispositif sont relevées. Dans son article 238[4], l’arrêté du 3 Novembre 2014 rappelle que, dans le cadre de l’externalisation de la fonction de contrôle, l’établissement assujetti demeure responsable et que des sanctions lui seraient infligées en cas de non-respect des obligations réglementaires. C’est en ce sens que l’ACPR a sanctionné les établissements ayant opté pour l’externalisation de cette fonction à des entités de leur Groupe qui ne respectaient pas les conditions de mise en œuvre et qui ne couvraient pas l’ensemble des sujets à contrôler.

Enfin, les sanctions 2021 ont révélé la nécessité réelle pour les établissements assujettis d’allouer des moyens, outillés et humains, pour le traitement des alertes[5]. Le paramétrage des outils de surveillance fera très probablement l’objet d’un focus pour l’année 2022 au vu des défaillances relevées par l’ACPR. A titre d’exemple, un grief indique que des alertes étaient présentées selon l’ordre alphabétique du nom des clients et non pas selon leur degré de criticité ou date d’apparition ce qui n’en permettait pas un traitement organisé et priorisé. De plus, la Commission a en ce sens partagé une bonne pratique dans le cadre d’une nouvelle sanction tombée en début d’année 2022, selon laquelle les seuils de surveillance utilisés pour la détection des opérations atypiques doivent, pour être pertinents, être fixés à des niveaux suffisamment proches du montant moyen des opérations exécutées.

Parallèlement, l’insuffisance des moyens humains affectés au traitement des alertes fait également l’objet d’une surveillance accrue. Un nombre de ressources limité génère une augmentation du stock d’alertes en attente de traitement, et des retards dans la formalisation des déclarations de soupçon qui ne sont plus alors réalisées dans des délais acceptables.

Sur l’obligation de déclaration à Tracfin

Près de 15% des griefs exposés par l’ACPR en 2021 concernent un défaut de Déclaration de Soupçon (DS). En vertu de l’article L 561-15 du CMF[6], les établissements du secteur bancaire sont tenus de déclarer les opérations qui font l’objet de soupçons à Tracfin le plus rapidement possible. Pourtant, la Commission des Sanctions a identifié un défaut de déclaration pour 3737 dossiers dans ses décisions publiées en 2021, et sur 24 autres dossiers dans le cadre d’une nouvelle sanction publiée début 2022.

Toutefois, l’ACPR salue l’effort engagé dans l’exercice de déclaration et rappelle qu’entre 2016 et 2020, le nombre de DS effectuées a augmenté de 79%[7] (111 671 au total).

Quid de 2022 ?

Les premières sanctions 2022 confirment nos analyses. Les griefs mettent en avant des défaillances dans les obligations de vigilance, les dispositifs de connaissance client et de contrôle interne. Le manque de moyens humains et techniques a également été relevé.

Dans un contexte de renforcement des obligations réglementaires au niveau européen[8], nous pouvons nous attendre pour 2022 à plus de fermeté du superviseur, ce qui se traduira vraisemblablement par des sanctions pécuniaires significatives si les actions des assujettis sont jugées insuffisantes.

Enfin, considérant le contexte géopolitique actuel, une attention particulière sera de toute évidence portée sur les dispositifs de gel des avoirs, de criblage et de filtrage des établissements financiers.

_{[1] L’Office des Nations Unies contre la Drogue et le Crime (ONUDC) Money Laundering | Europol (europa.eu)}

_{[2] Lignes directrices relatives à l’identification, la vérification de l’identité et la connaissance de la clientèle, Décembre 2021}

_{[3] Le permis de conduire sécurisé au format européen. Le permis de conduire rose cartonné (sans date de fin de validité) peut être valablement admis dès lors que la photographie est suffisamment ressemblante.}

_{[4] « l’externalisation d’activité : / a) Donne lieu à un contrat écrit entre le prestataire externe et l’entreprise assujettie ; / b) S’inscrit dans le cadre d’une politique formalisée de contrôle des prestataires externes définie par l’entreprise assujettie. Des mesures appropriées sont prises s’il apparaît que le prestataire de services risque de ne pas s’acquitter de ses tâches de manière efficace ou conforme aux obligations législatives ou réglementaires ; / c) Peut, si nécessaire, être interrompue sans que cela nuise à la continuité ou à la qualité des prestations de services aux clients »}

_{[5] En vertu des articles 4 et 11 de l’arrêté du 6 janvier 2021.}

_{[6] En vertu du I de l’article L. 561-15 du Code Monétaire et Financier, les personnes assujetties « sont tenues, dans les conditions fixées par le présent chapitre, de déclarer au service mentionné à l’article L. 561-23 les sommes inscrites dans leurs livres ou les opérations portant sur des sommes dont elles savent, soupçonnent ou ont de bonnes raisons de soupçonner qu’elles proviennent d’une infraction passible d’une peine privative de liberté supérieure à un an ou sont liées au financement du terrorisme »}

_{[7] +80% pour les professions financières et +66% pour les professions non-financières.}

_{[8] Anti-money laundering and countering the financing of terrorism legislative package | European Commission (europa.eu)}