Construire la fonction conformité

Un programme de conformité n’est jamais plus solide que la fonction qui le met en œuvre. Lorsque les autorités de supervision examinent une entreprise spécialisée dans les cryptoactifs, elles cherchent d’abord à savoir qui assume la responsabilité du risque de criminalité financière, si cette personne peut s’opposer aux décisions de l’entreprise, et si l’équipe dispose des effectifs, des outils et du budget nécessaires au regard de son profil de risque. Cette leçon explique comment concevoir cette fonction et comment démontrer son efficacité.

Ce qu’exige la norme

La Recommandation 18 du GAFI exige des entités assujetties qu’elles mettent en œuvre des programmes de lutte contre le blanchiment de capitaux et le financement du terrorisme. Sa note interprétative énumère les éléments minimaux : des politiques, procédures et contrôles internes assortis de dispositifs de gestion de la conformité adaptés, des procédures de vérification lors du recrutement des employés, un programme de formation continue et une fonction d’audit indépendante chargée de tester le système. Les dispositifs de gestion de la conformité « devraient prévoir la nomination d’un responsable de la conformité au niveau de la direction ». La note interprétative de la Recommandation 15 applique ces mesures préventives aux PSAV.

Deux principes sous-tendent chaque choix de conception :

• Proportionnalité. La note interprétative de la Recommandation 18 indique que le type et l’étendue des mesures doivent être adaptés aux risques et à la taille de l’entreprise. Une plateforme d’échange de 20 personnes et une plateforme mondiale comptant des millions d’utilisateurs ont toutes deux besoin d’un responsable de la conformité, mais pas de la même structure.
• Responsabilité au plus haut niveau. Le conseil d’administration définit l’appétit pour le risque et en demeure responsable ; la direction générale met en œuvre les mesures ; la fonction conformité conseille, surveille et remet en question. Les lignes directrices du Comité de Bâle intitulées Sound management of risks related to money laundering and financing of terrorism (publiées pour la première fois en 2014, dernière révision en juillet 2020) décrivent le même dispositif pour les banques, avec un responsable de la lutte contre le blanchiment de capitaux et le financement du terrorisme dans la deuxième ligne.

Les éléments essentiels et le modèle des trois lignes sont abordés dans la leçon Éléments essentiels d’un programme de lutte contre le blanchiment de capitaux et le financement du terrorisme. Cette leçon les traduit en un organigramme, un effectif et un budget.

Conception organisationnelle

La plupart des entreprises spécialisées dans les cryptoactifs regroupent les activités de lutte contre la criminalité financière au sein de quelques équipes. La répartition entre la première ligne (activités commerciales et opérations) et la deuxième ligne (conformité) varie selon les entreprises, mais cette répartition doit être consignée par écrit et connue du personnel.

Une entreprise présente dans plusieurs pays choisit parmi trois modèles. Dans un modèle centralisé, une équipe dessert tous les marchés. Dans un modèle en étoile, une équipe centrale définit les normes et gère les services partagés, tandis que des responsables locaux de la conformité sont en poste là où les licences ou les obligations locales de déclaration l’exigent. Dans un modèle fédéré, chaque entité juridique gère son propre programme. Le modèle en étoile est le plus courant pour les PSAV : les outils et l’analyse des activités sur la chaîne peuvent être déployés à grande échelle de façon centralisée, tandis que certains régimes exigent un responsable établi localement et des déclarations locales.

Indépendance et lignes hiérarchiques

L’indépendance s’évalue dans la pratique, pas au titre du poste. Voici les éléments recherchés par une autorité de supervision :

• une ligne hiérarchique directe entre le responsable de la conformité et le conseil d’administration ou l’un de ses comités, et non uniquement par l’intermédiaire du directeur général ou du responsable d’une ligne génératrice de revenus ;
• le droit de saisir le conseil d’administration sans autorisation, ainsi qu’un accès sans restriction aux données, aux systèmes et au personnel ;
• aucune responsabilité dans une ligne d’activité : un responsable de la conformité qui dirige aussi les opérations ou la croissance finit par examiner ses propres décisions ;
• une rémunération qui n’est pas liée aux revenus, aux volumes de transactions ou au nombre de nouveaux clients intégrés ;
• une nomination et une révocation décidées ou approuvées par le conseil d’administration ;
• une décision de déclaration protégée : personne ne peut demander au responsable de la conformité de ne pas déposer une déclaration d’opération suspecte.

Les petites entreprises cumulent souvent plusieurs fonctions. Le cumul des fonctions de conformité et de gestion des risques ou des affaires juridiques peut être acceptable si les conflits sont documentés et gérés. Le cumul avec l’audit interne ne l’est pas, car l’auditeur contrôlerait son propre travail.

Rôle du responsable de la conformité et du MLRO

Certains régimes distinguent le responsable de la conformité, qui est chargé du programme, du responsable des déclarations en matière de blanchiment de capitaux (MLRO), qui est chargé des décisions de déclaration. De nombreuses entreprises confient les deux rôles à une seule personne. Dans tous les cas, le rôle consiste à :

1. assumer la responsabilité des politiques de lutte contre le blanchiment de capitaux et le financement du terrorisme et des sanctions, ainsi que de l’évaluation des risques à l’échelle de l’entreprise ;
2. décider si les signalements internes de soupçons doivent être transmis à la cellule de renseignement financier ;
3. servir de point de contact auprès de l’autorité de supervision et de la cellule de renseignement financier ;
4. superviser les contrôles de surveillance, de filtrage et de la Travel Rule, y compris les activités externalisées ;
5. rendre compte au conseil d’administration au moins une fois par an et sans délai en cas de problème important ;
6. approuver les nouveaux produits, jetons, chaînes et marchés du point de vue de la criminalité financière.

Nommez un adjoint formé afin que les déclarations puissent se poursuivre en cas d’absence. De nombreux régimes soumettent ce poste à une procédure d’approbation portant sur l’honorabilité et la compétence, et le responsable peut engager sa responsabilité personnelle (voir la leçon Supervision, examens et mesures coercitives).

Effectifs, compétences et budget

Les effectifs doivent être calculés à partir de la charge de travail et des risques, puis documentés afin que le conseil d’administration puisse savoir ce qu’il approuve. Voici un exemple de calcul pour la surveillance des transactions :

• 6 000 alertes par mois, avec un examen de niveau 1 prenant en moyenne 20 minutes : 6 000 × 20 = 120 000 minutes, soit 2 000 heures.
• 15 % font l’objet d’une transmission (900 dossiers), et une enquête de niveau 2 prend 90 minutes : 900 × 90 = 81 000 minutes, soit 1 350 heures.
• Un analyste dispose d’environ 120 heures productives par mois après déduction du temps consacré à la formation, aux réunions et aux congés.
• Le niveau 1 nécessite 2 000 ÷ 120 = 16,7 ETP et le niveau 2, 1 350 ÷ 120 = 11,3 ETP. En ajoutant 10 % pour l’assurance qualité, on obtient environ 31 ETP.

Répétez le calcul pour les files d’attente d’intégration, de filtrage et de la Travel Rule, et refaites-le lorsque les volumes, les produits ou les marchés évoluent. Les compétences comptent autant que les effectifs. Une équipe de conformité spécialisée dans les cryptoactifs a besoin d’enquêteurs spécialisés dans les activités sur la chaîne (le cours IDFE-BA présente leurs méthodes), d’analystes de données capables d’interroger les données de surveillance, de spécialistes des sanctions et de personnes qui comprennent les produits de l’entreprise. Tenez à jour une matrice des compétences de l’équipe, prévoyez des solutions pour réduire le risque lié aux personnes clés détenant des compétences spécialisées, telles que le traçage des transactions entre ponts, et prévoyez un budget pour la formation continue de l’équipe.

Le budget couvre le personnel, la technologie, les données, la formation, les tests indépendants et une réserve pour faire face aux pics d’activité, tels qu’une flambée du marché ou un piratage majeur. Lorsque le conseil d’administration refuse une demande, le procès-verbal doit consigner la décision et le risque résiduel accepté. Une autorité de supervision posera la question.

Externalisation

Les entreprises externalisent les vérifications de documents, l’examen des alertes de niveau 1, les opérations de filtrage, la messagerie liée à la Travel Rule et parfois les travaux d’audit interne. La responsabilité reste celle de l’entreprise. Cette situation diffère du recours à un tiers au titre de la Recommandation 17, lorsqu’une entreprise s’appuie sur les mesures de vigilance à l’égard de la clientèle effectuées par une autre entité réglementée : la note interprétative de la Recommandation 17 précise qu’elle ne s’applique pas à l’externalisation ni aux relations de mandat, dans lesquelles le prestataire agit pour le compte de l’entreprise.

N’externalisez jamais la décision de déposer une déclaration, l’appétit pour le risque ou la responsabilité de l’évaluation des risques. Pour toutes les autres activités, un dispositif solide comprend une diligence raisonnable à l’égard du prestataire ; un contrat prévoyant des niveaux de service, des droits d’audit et d’accès aux données, des clauses de protection des données, des limites à la sous-traitance et un plan de sortie ; ainsi qu’une supervision continue au moyen d’échantillons de contrôle qualité et d’indicateurs clés. Les dispositifs intragroupe sont également concernés : lorsqu’une société de services d’un groupe assure la surveillance pour plusieurs entités titulaires d’une licence, chaque entité doit disposer d’un accord écrit, exercer sa propre supervision et garantir à son responsable local l’accès aux dossiers dont elle est responsable. Parmi les références internationales figurent le guide du CSF Enhancing Third-Party Risk Management and Oversight (décembre 2023), les Principles on Outsourcing de l’OICV (octobre 2021) et les Principles for the sound management of third-party risk du Comité de Bâle (décembre 2025).

Rapports au conseil d’administration

Le conseil d’administration a besoin d’informations lui permettant d’évaluer si les risques restent dans les limites de l’appétit pour le risque. Un rapport trimestriel utile couvre les éléments suivants :

Le rapport annuel du responsable de la conformité ajoute l’évaluation des risques mise à jour et un avis sur l’efficacité du programme. Les procès-verbaux du conseil d’administration doivent faire état des questions posées et des décisions prises, et pas seulement indiquer que le sujet a été « pris en note ».

Points clés pour l’examen : ce qu’exige la note interprétative de la Recommandation 18 (dispositifs de conformité, responsable de la conformité au niveau de la direction, vérification lors du recrutement, formation, audit indépendant) et son principe de proportionnalité ; les modèles centralisé, en étoile et fédéré ; les éléments attestant l’indépendance (lien hiérarchique direct avec le conseil d’administration, absence de responsabilités dans une ligne d’activité, rémunération, décision de déclaration protégée) et les raisons pour lesquelles la conformité ne peut pas être cumulée avec l’audit interne ; les fonctions du responsable de la conformité et du MLRO ; le calcul des effectifs à partir des volumes d’alertes et des durées de traitement ; les raisons pour lesquelles l’externalisation ne transfère jamais la responsabilité et la différence avec le recours à un tiers au titre de la Recommandation 17 ; les éléments à inclure dans les rapports au conseil d’administration.