Mettre en place la fonction conformité

Un programme de conformité ne vaut que par la solidité de la fonction qui le pilote. Lorsque les autorités de contrôle examinent une entreprise du secteur des cryptoactifs, elles regardent d’abord qui assume la responsabilité du risque de criminalité financière, si cette personne peut s’opposer aux activités commerciales et si l’équipe dispose des effectifs, des outils et du budget qu’exige le profil de risque de l’entreprise. Cette leçon montre comment concevoir cette fonction et comment démontrer qu’elle fonctionne.

Ce qu’exige la norme

La Recommandation 18 du GAFI impose aux entités assujetties de mettre en œuvre des programmes de lutte contre le blanchiment de capitaux et le financement du terrorisme. Sa note interprétative en énumère le contenu minimal : des politiques, procédures et contrôles internes assortis de dispositifs appropriés de gestion de la conformité, des procédures de sélection lors du recrutement des employés, un programme de formation continue et une fonction d’audit indépendante chargée de tester le système. Les dispositifs de gestion de la conformité « devraient comprendre la désignation d’un responsable de la conformité au niveau de la direction ». La note interprétative de la Recommandation 15 applique ces mesures préventives aux prestataires de services d’actifs virtuels (PSAV).

Deux principes sous-tendent chaque choix de conception :

• Proportionnalité. La note interprétative de la Recommandation 18 indique que la nature et l’étendue des mesures doivent être adaptées au risque et à la taille de l’entreprise. Une plateforme d'échange de 20 personnes et une plateforme mondiale comptant des millions d’utilisateurs ont toutes deux besoin d’un responsable de la conformité, mais pas de la même structure.
• Responsabilité au plus haut niveau. Le conseil d’administration définit l’appétence pour le risque et demeure responsable ; la direction générale assure la mise en œuvre ; la fonction conformité conseille, surveille et exerce un regard critique. Les lignes directrices du Comité de Bâle Saine gestion des risques liés au blanchiment de capitaux et au financement du terrorisme (publiées initialement en 2014, révisées pour la dernière fois en juillet 2020) décrivent le même dispositif pour les banques, avec un responsable principal de la LBC/FT en deuxième ligne.

Les éléments fondamentaux et le modèle des trois lignes sont abordés dans la leçon Éléments fondamentaux d’un programme de LBC/FT. La présente leçon les traduit en un organigramme, des effectifs et un budget.

Structure organisationnelle

La plupart des entreprises du secteur des cryptoactifs répartissent les activités de lutte contre la criminalité financière entre quelques équipes. Leur rattachement à la première ligne (activités commerciales et opérations) ou à la deuxième (conformité) varie selon les entreprises, mais cette répartition doit être consignée par écrit et connue du personnel.

Une entreprise présente dans plusieurs pays choisit parmi trois modèles. Dans un modèle centralisé, une seule équipe dessert tous les marchés. Dans un modèle en étoile, une équipe centrale définit les normes et gère les services partagés, avec des responsables locaux de la conformité lorsque les agréments ou les obligations déclaratives locales l’exigent. Dans un modèle fédéré, chaque entité juridique gère son propre programme. Le modèle en étoile est le plus courant chez les PSAV : les outils et l’analyse sur la blockchain peuvent être déployés à grande échelle de manière centralisée, tandis que certains régimes exigent un responsable établi localement et le dépôt local des déclarations.

Indépendance et liens hiérarchiques

L’indépendance se vérifie dans la pratique, et non à l’intitulé du poste. Les éléments probants recherchés par une autorité de contrôle sont les suivants :

• un lien hiérarchique direct entre le responsable de la conformité et le conseil d’administration ou l’un de ses comités, et non uniquement par l’intermédiaire du directeur général ou du responsable d’une activité génératrice de revenus ;
• le droit de saisir le conseil d’administration sans autorisation, ainsi qu’un accès sans restriction aux données, aux systèmes et au personnel ;
• aucune responsabilité dans les activités commerciales ou opérationnelles : un responsable de la conformité qui dirige également les opérations ou le développement commercial finit par examiner ses propres décisions ;
• une rémunération qui n’est liée ni au chiffre d’affaires, ni au volume de négociation, ni au nombre d’entrées en relation ;
• une nomination et une révocation décidées ou approuvées par le conseil d’administration ;
• une décision de déclaration protégée : nul ne peut donner au responsable de la conformité l’instruction de ne pas déposer une déclaration d’opération suspecte.

Les petites entreprises cumulent souvent les fonctions. Le cumul de la conformité avec la gestion des risques ou la fonction juridique peut être acceptable si les conflits sont documentés et gérés. Le cumul avec l’audit interne ne l’est pas, car l’auditeur testerait alors son propre travail.

Le rôle du responsable de la conformité et du MLRO

Certains régimes distinguent le responsable de la conformité, chargé du programme, du responsable des déclarations en matière de blanchiment de capitaux (MLRO), chargé des décisions de déclaration. De nombreuses entreprises confient les deux rôles à une seule personne. Dans les deux cas, la fonction comprend les responsabilités suivantes :

1. assumer la responsabilité des politiques de LBC/FT et de sanctions ainsi que de l’évaluation des risques à l’échelle de l’entreprise ;
2. décider si les signalements internes de soupçons font l’objet d’une déclaration à la cellule de renseignement financier ;
3. servir de point de contact pour l’autorité de contrôle et la cellule de renseignement financier ;
4. superviser les contrôles de surveillance, de filtrage et liés à la Travel Rule, y compris les volets externalisés ;
5. rendre compte au conseil d’administration au moins une fois par an, et rapidement en cas de problèmes importants ;
6. approuver les nouveaux produits, jetons, blockchains et marchés sous l’angle de la criminalité financière.

Désignez un adjoint formé afin d’assurer la continuité des déclarations pendant les absences. De nombreux régimes soumettent cette fonction à une approbation portant sur la compétence et l’honorabilité, et la responsabilité personnelle du titulaire peut être engagée (voir la leçon Supervision, contrôles et mesures coercitives).

Effectifs, compétences et budget

Les effectifs doivent être déterminés à partir de la charge de travail et des risques, puis documentés afin que le conseil d’administration puisse comprendre ce qu’il approuve. Voici un exemple de calcul pour la surveillance des transactions :

• 6 000 alertes par mois, avec un examen de niveau 1 prenant 20 minutes en moyenne : 6 000 × 20 = 120 000 minutes, soit 2 000 heures.
• 15 % font l’objet d’une remontée au niveau supérieur (900 dossiers), et l’investigation de niveau 2 prend 90 minutes : 900 × 90 = 81 000 minutes, soit 1 350 heures.
• Un analyste dispose d’environ 120 heures productives par mois après déduction des formations, réunions et congés.
• Le niveau 1 nécessite 2 000 ÷ 120 = 16,7 ETP et le niveau 2 nécessite 1 350 ÷ 120 = 11,3 ETP. En ajoutant 10 % pour l’assurance qualité, on obtient environ 31 ETP.

Répétez le calcul pour les files de traitement de l’entrée en relation, du filtrage et de la Travel Rule, et refaites-le lorsque les volumes, les produits ou les marchés évoluent. Les compétences comptent autant que les effectifs. Une équipe de conformité spécialisée dans les cryptoactifs a besoin d’enquêteurs sur la blockchain (la formation IDFE-CF couvre leurs méthodes), d’analystes de données capables d’interroger les données de surveillance, de spécialistes des sanctions et de personnes qui comprennent les produits de l’entreprise. Tenez à jour une matrice des compétences de l’équipe, prévoyez des mesures pour gérer le risque de dépendance à une personne clé pour les compétences de niche telles que le traçage à travers les ponts interblockchains, et inscrivez au budget la formation continue de l’équipe elle-même.

Le budget couvre le personnel, la technologie, les données, la formation, les tests indépendants et une provision pour les pics d’activité, par exemple lors d’une forte hausse du marché ou d’un piratage majeur. Lorsque le conseil d’administration rejette une demande, le procès-verbal doit consigner la décision et le risque résiduel accepté. Une autorité de contrôle demandera ces éléments.

Externalisation

Les entreprises externalisent les vérifications documentaires, l’examen des alertes de niveau 1, les opérations de filtrage, la messagerie liée à la Travel Rule et parfois les travaux d’audit interne. La responsabilité reste celle de l’entreprise. Cela diffère du recours à un tiers au titre de la Recommandation 17, dans lequel une entreprise s’appuie sur les mesures de vigilance à l’égard de la clientèle effectuées par une autre entité réglementée : la note interprétative de la Recommandation 17 précise qu’elle ne s’applique pas aux relations d’externalisation ou de mandat, dans lesquelles le prestataire agit pour le compte de l’entreprise.

N’externalisez jamais la décision de déposer une déclaration, l’appétence pour le risque ou la responsabilité de l’évaluation des risques. Pour tout le reste, un dispositif solide comprend une diligence raisonnable sur le prestataire ; un contrat prévoyant des niveaux de service, des droits d’audit et d’accès aux données, des clauses de protection des données, des limites à la sous-externalisation et un plan de sortie ; ainsi qu’une supervision continue au moyen d’échantillons de contrôle qualité et d’indicateurs clés. Les dispositifs intragroupe sont également concernés : lorsqu’une société de services du groupe assure la surveillance pour plusieurs entités agréées, chaque entité doit disposer d’un accord écrit, de sa propre supervision et d’un accès, pour son responsable local, aux dossiers dont il est responsable. Les références internationales comprennent la boîte à outils du FSB Renforcer la gestion et la supervision des risques liés aux tiers (décembre 2023), les Principes relatifs à l’externalisation de l’OICV (octobre 2021) et les Principes pour une saine gestion des risques liés aux tiers du Comité de Bâle (décembre 2025).

Rapports au conseil d’administration

Le conseil d’administration a besoin d’informations lui permettant de déterminer si le risque reste dans les limites de l’appétence définie. Un dossier trimestriel utile couvre les éléments suivants :

Le rapport annuel du responsable de la conformité y ajoute l’évaluation actualisée des risques et un avis sur l’efficacité du programme. Les procès-verbaux du conseil d’administration doivent faire apparaître les questions posées et les décisions prises, et non simplement porter la mention « pris acte ».

Points clés pour l'examen : les exigences de la note interprétative de la Recommandation 18 (dispositifs de conformité, responsable de la conformité au niveau de la direction, sélection à l’embauche, formation, audit indépendant) et son principe de proportionnalité ; les modèles centralisé, en étoile et fédéré ; les preuves de l’indépendance (lien direct avec le conseil d’administration, absence de responsabilités commerciales ou opérationnelles, rémunération, décision de déclaration protégée) et les raisons pour lesquelles la conformité ne peut pas être cumulée avec l’audit interne ; les missions du responsable de la conformité et du MLRO ; le dimensionnement d’une équipe à partir des volumes d’alertes et des temps de traitement ; les raisons pour lesquelles l’externalisation ne transfère jamais la responsabilité et la manière dont elle diffère du recours à un tiers au titre de la Recommandation 17 ; les éléments à inclure dans les rapports au conseil d’administration.