Éléments fondamentaux d’un programme de LBC/FT

Les autorités de contrôle, les auditeurs et les partenaires bancaires évaluent le programme de LBC/FT d’un PSAV à l’aide d’une liste de contrôle d’éléments reconnaissables. Chaque élément doit exister, être proportionné aux risques de l’entreprise et produire des preuves de son efficacité. Cette leçon présente la vue d’ensemble ; les modules suivants approfondissent chaque élément, et le module 8 montre comment élaborer le programme complet à partir de zéro.

Le fondement international

Les Recommandations du GAFI ne prescrivent pas d’organigramme, mais elles définissent les éléments constitutifs. La Recommandation 18 exige des institutions financières et, par l’intermédiaire de la R.15, des PSAV qu’ils mettent en œuvre des programmes de lutte contre le blanchiment de capitaux et le financement du terrorisme. Sa note interprétative indique que ces programmes devraient inclure :

• des politiques, procédures et contrôles internes, y compris des dispositifs de gestion de la conformité appropriés (avec un responsable de la conformité de niveau hiérarchique supérieur) et des procédures de sélection adéquates pour garantir des normes élevées lors du recrutement des employés ;
• un programme de formation continue des employés ;
• une fonction d’audit indépendante chargée de tester le système.

Les mesures doivent être adaptées aux risques et à la taille de l’entreprise. Les groupes doivent mettre en œuvre des programmes à l’échelle du groupe, y compris le partage d’informations à des fins de LBC/FT, dans leurs succursales et leurs filiales détenues majoritairement. D’autres Recommandations précisent le contenu opérationnel : la vigilance à l’égard de la clientèle (R.10), la conservation des documents (R.11), les personnes politiquement exposées (R.12), la Travel Rule (R.16), la déclaration des opérations suspectes et l’interdiction de divulguer cette déclaration (R.20 et R.21), ainsi que les sanctions financières ciblées (R.6 et R.7). Les lignes directrices du Comité de Bâle sur la saine gestion des risques liés au blanchiment de capitaux et au financement du terrorisme (publiées pour la première fois en janvier 2014 et mises à jour pour la dernière fois en juillet 2020) décrivent les mêmes éléments pour les banques et sont également largement utilisées comme référence par les entreprises non bancaires.

Gouvernance et responsabilité de la haute direction

La responsabilité du programme incombe à la direction de l’entreprise, et non à l’équipe de conformité. La gouvernance signifie que le conseil d’administration ou l’organe équivalent :

• approuve l’évaluation des risques à l’échelle de l’entreprise, l’appétit pour le risque et la politique de LBC/FT ;
• nomme un responsable de la conformité disposant de l’autorité et des ressources nécessaires pour accomplir sa mission ;
• reçoit régulièrement des informations de gestion (volumes d’alertes et retards accumulés, déclarations transmises, clients à haut risque, exceptions à la Travel Rule, conclusions d’audit) et prend des mesures en conséquence ;
• veille à ce que les décisions commerciales, comme l’inscription d’un nouveau jeton ou l’entrée sur le marché d’un pays, fassent l’objet d’un examen documenté des risques.

Des cadres supérieurs devraient être désignés comme responsables de parties précises du programme. Les mesures d’application publiques visant des plateformes d’échange ont cité à plusieurs reprises des dirigeants qui considéraient la conformité comme un coût à minimiser, passaient outre la fonction de conformité ou développaient leur clientèle beaucoup plus rapidement que les contrôles ne pouvaient suivre.

Le responsable de la conformité et le MLRO

Le responsable de la conformité (appelé dans de nombreuses entreprises responsable de la déclaration des opérations de blanchiment de capitaux, MLRO, et dont le rôle est parfois réparti entre deux personnes) gère le programme au quotidien. INR.18 situe ce rôle au niveau de la direction. En pratique, cette fonction nécessite :

• l’indépendance vis-à-vis des secteurs d’activité dont elle contrôle les opérations, ainsi qu’un lien direct avec le conseil d’administration ou un comité de celui-ci ;
• l’accès à toutes les données relatives aux clients, aux transactions et à la chaîne, sans avoir à en demander l’autorisation ;
• l’autorité nécessaire pour faire remonter les problèmes, refuser des clients ou mettre fin à la relation avec eux, et décider de transmettre des déclarations d’opérations suspectes sans l’approbation de l’entreprise ;
• des ressources proportionnées aux volumes d’activité, notamment des analystes possédant des compétences en analyse de la chaîne de blocs ;
• un suppléant formé, afin que les déclarations ne soient pas interrompues en l’absence d’une personne.

Dans les jeunes PSAV, une faiblesse fréquente est que le responsable de la conformité gère également les opérations ou relève du responsable de la croissance. La leçon Mise en place de la fonction de conformité traite en détail de la conception organisationnelle.

Les éléments opérationnels

Le tableau présente les autres éléments fondamentaux, les objectifs que chacun doit atteindre et les preuves qu’un examinateur demande généralement.

Chaque élément fait l’objet de leçons ultérieures, de Identification et vérification des clients à Obligations de déclaration des opérations suspectes.

Conservation des documents relatifs aux cryptomonnaies

La Recommandation 11 exige des entreprises qu’elles conservent tous les documents de transaction nécessaires pendant au moins cinq ans, ainsi que les documents relatifs à la vigilance à l’égard de la clientèle, les dossiers de comptes, la correspondance commerciale et les résultats de toute analyse pendant au moins cinq ans après la fin de la relation d’affaires ou après la date d’une opération occasionnelle. Les documents doivent permettre de reconstituer les transactions individuelles afin de servir de preuves, et doivent être rapidement accessibles aux autorités compétentes. Les règles nationales peuvent imposer des périodes plus longues.

Pour un PSAV, « suffisant pour reconstituer » va au-delà d’un registre fiduciaire. Un dossier complet relie généralement :

• les identifiants du client et du compte, ainsi que le dossier de vigilance à l’égard de la clientèle en vigueur à l’époque ;
• le hachage de la transaction, la chaîne, l’actif, le montant, les adresses, la hauteur de bloc et l’horodatage ;
• les données de la Travel Rule envoyées ou reçues et le PSAV contrepartie ;
• les résultats du filtrage et de l’analyse au moment de la décision, car les étiquettes et les scores de risque changent par la suite ;
• l’alerte, les notes du dossier et la décision finale, y compris la justification de la décision de ne pas transmettre de déclaration.

La conservation d’un instantané du résultat de l’analyse est importante. Si une adresse est étiquetée à haut risque six mois après que vous avez accepté un dépôt, un examinateur demandera ce que vous saviez à ce moment-là, et seul un instantané conservé peut répondre à cette question. La leçon Conservation des documents, protection des données et partage d’informations met en balance ces obligations et le droit à la vie privée.

Formation et tests indépendants

La formation doit être continue et adaptée aux rôles. Le personnel du service client doit savoir reconnaître les victimes d’escroquerie et éviter de divulguer qu’une déclaration a été faite ; les négociateurs OTC doivent connaître les indicateurs de risque liés à l’origine des fonds ; les ingénieurs qui modifient le code de filtrage doivent comprendre les conséquences d’une alerte manquée. Suivez les formations achevées et vérifiez la compréhension.

Les tests indépendants vérifient si le programme fonctionne, et pas seulement si des documents existent. Ils peuvent être réalisés par l’audit interne ou par une partie externe qualifiée, mais les personnes qui effectuent les tests doivent être indépendantes de celles qui ont conçu et exploitent les contrôles. Un bon périmètre consiste à échantillonner de vraies alertes et des dossiers d’entrée en relation, à refaire le filtrage à partir de listes historiques et à vérifier si les documents peuvent être récupérés. Les conclusions sont communiquées au conseil d’administration, avec les responsables et les échéances. La leçon Formation, culture et tests indépendants traite du périmètre et de la fréquence.

Le modèle des trois lignes

La plupart des entreprises répartissent les responsabilités selon le Modèle des trois lignes publié par l’Institute of Internal Auditors (2020), qui succède au modèle des « trois lignes de défense », également utilisé dans les lignes directrices du Comité de Bâle sur la LBC/FT.

Le conseil d’administration se situe au-dessus des trois lignes en tant qu’organe de gouvernance. Deux défaillances récurrentes touchent les petites entreprises : la deuxième ligne effectue le travail de la première (le personnel de conformité intègre chaque client, si bien que personne ne remet en question le processus d’entrée en relation) et la troisième ligne est confiée aux mêmes conseillers qui ont conçu le programme, si bien que personne n’est indépendant.

Points clés pour l’examen : les trois composantes exigées par INR.18 (politiques, procédures et contrôles, notamment un responsable de la conformité de niveau hiérarchique supérieur et la sélection des employés ; formation continue ; audit indépendant) et leur proportionnalité aux risques et à la taille ; les obligations du GAFI qui sous-tendent chaque élément opérationnel ; les responsabilités du conseil d’administration et de la haute direction ; le sens de l’indépendance, de l’accès, de l’autorité et des ressources pour le responsable de la conformité/MLRO ; la conservation d’au moins cinq ans prévue par la R.11 et le contenu d’un dossier crypto permettant la reconstitution, y compris les instantanés analytiques ; le modèle des trois lignes et ses défaillances fréquentes.