Gérer un programme de conformité aux sanctions

Les outils de filtrage ne constituent pas à eux seuls un programme de sanctions : ils n’en sont qu’un contrôle parmi d’autres. Les autorités de supervision et de contrôle évaluent une entreprise selon l’adéquation de ses contrôles à son exposition réelle, la responsabilité assumée par un cadre supérieur et sa capacité à prouver que ces contrôles fonctionnent. Cette leçon rassemble les éléments des quatre leçons précédentes pour former un programme qui peut être mis en œuvre, testé et défendu.

Évaluation des risques liés aux sanctions

Une évaluation des risques liés aux sanctions cherche à déterminer où une personne, un lieu ou une transaction interdits pourraient entrer dans les activités de l’entreprise, et dans quelle mesure les contrôles permettraient de les bloquer. Elle peut s’inscrire dans l’évaluation des risques à l’échelle de l’entreprise (voir la leçon L’approche fondée sur les risques), mais elle doit comporter ses propres facteurs, car les risques liés aux sanctions concernent l’exposition aux désignations et aux territoires plutôt que les soupçons.

Le financement de la prolifération mérite une attention particulière. En octobre 2020, le FATF a modifié la Recommandation 1 et sa note interprétative afin d’exiger des pays et des entreprises du secteur privé qu’ils identifient, évaluent et atténuent leurs risques de financement de la prolifération, définis de manière stricte comme le risque de violation, de non-mise en œuvre ou de contournement des sanctions financières ciblées prévues par la Recommandation 7. Les Orientations du FATF sur l’évaluation et l’atténuation des risques de financement de la prolifération (juin 2021) expliquent comment procéder. Pour un PSAV, compte tenu des activités documentées de la RPDC décrites dans la leçon Risques liés aux sanctions propres aux cryptoactifs, ce risque est rarement faible.

Le résultat devrait comprendre une évaluation de chaque facteur, les contrôles qui y répondent et le risque résiduel. Il devrait être approuvé par la direction générale et actualisé au moins une fois par an, ainsi qu’à chaque changement majeur de régime ou lancement de nouveau produit.

Gouvernance

La première étape consiste à attribuer les responsabilités. Une structure type se présente ainsi :

• le conseil d’administration approuve la politique de sanctions et l’appétence au risque, notamment la liste des régimes appliqués et les territoires où l’entreprise n’exercera pas ses activités ;
• un responsable des sanctions désigné, souvent au sein de la fonction conformité et relevant du responsable de la conformité ou du MLRO, prend en charge les opérations quotidiennes, les escalades et les déclarations aux autorités ;
• les équipes opérationnelles sont responsables des contrôles de première ligne, tels que les restrictions à l’intégration des clients et les blocages de retraits ;
• l’audit interne teste l’ensemble du programme de manière indépendante.

Les informations de gestion rendent la gouvernance concrète : délai entre la publication d’une liste et le nouveau filtrage complet, volumes et ancienneté des alertes, correspondances avérées et actifs gelés, blocages liés à la géolocalisation, dérogations accordées et résultats des tests. Un conseil d’administration qui examine ces données chaque trimestre peut les remettre en question ; un conseil qui n’approuve une politique qu’une fois par an ne le peut pas.

Contrôles préventifs et de détection

L’ensemble des contrôles relie chaque risque à un contrôle et à un responsable.

La géolocalisation mérite une attention particulière, car elle est peu coûteuse à mettre en place et facile à négliger. Une conception complète bloque l’intégration depuis les territoires sanctionnés, vérifie les données IP à chaque connexion et à chaque retrait, signale les plages d’adresses IP associées aux VPN et aux hébergeurs, compare le pays associé à l’adresse IP avec celui des documents et du numéro de téléphone, et effectue régulièrement un traitement par lots des comptes existants afin de repérer et de gérer les clients intégrés avant qu’un territoire ne soit sanctionné.

Escalade et divulgation

Une matrice d’escalade élimine toute incertitude :

Les déclarations aux autorités prennent deux formes. Les déclarations obligatoires concernent les actifs gelés et, dans certains régimes, les transactions rejetées. La divulgation volontaire d’une violation apparente, telle qu’un transfert effectué à une partie désignée, n’est pas exigée partout, mais de nombreuses autorités considèrent qu’une auto-divulgation rapide et complète, ainsi que la coopération, sont des facteurs atténuants. La décision de divulguer devrait être prise par la direction générale avec un avis juridique, puis consignée. L’entreprise devrait être prête à présenter son analyse des causes fondamentales et ses mesures correctives.

Lorsqu’une défaillance est découverte, un examen rétrospectif peut être nécessaire : il consiste à appliquer de nouveau le filtrage aux anciens clients ou aux anciennes transactions pendant la période où le contrôle était défaillant. Les Orientations de Wolfsberg sur le filtrage des sanctions (2019) suggèrent de tenir compte de la cause fondamentale, du caractère isolé ou non du problème et des mesures d’atténuation déjà en place pour déterminer si un tel examen est utile.

Tests et audit

Un programme qui n’est jamais testé n’est qu’une politique, pas un contrôle. Les tests se déroulent à trois niveaux :

1. Tests des systèmes : Toutes les listes sont-elles chargées intégralement et dans les délais ? Tous les clients et tous les flux de transactions passent-ils effectivement par le filtrage ? La correspondance approximative repère-t-elle les variantes préparées à cet effet au seuil configuré ? Les blocages géographiques fonctionnent-ils lorsque les tests sont effectués depuis une adresse IP d’un territoire sanctionné et via un VPN ?
2. Assurance qualité : Les décisions relatives aux alertes respectent-elles la procédure et les justifications sont-elles précises ? Chaque mois, un échantillon d’alertes clôturées fait l’objet d’un nouvel examen.
3. Audit indépendant : L’audit interne ou un tiers qualifié teste la conception et l’efficacité opérationnelle à une fréquence définie en fonction du risque, puis rend compte de ses constats au conseil d’administration, avec un suivi des mesures correctives.

L’intégrité des données est la défaillance cachée la plus fréquente. Les dossiers clients qui n’ont jamais été transmis au moteur de filtrage en raison d’un champ manquant, ou les retraits d’un nouveau produit qui contournent l’appel au service de filtrage des portefeuilles, n’apparaîtront pas dans les statistiques d’alertes. Le rapprochement entre la population soumise au filtrage et la population existante permet de les repérer.

Les preuves demandées par un examinateur

Les autorités de supervision commencent généralement un examen des sanctions par une demande de documents. Une entreprise capable de fournir rapidement les éléments suivants montre que son programme fonctionne et ne se contente pas d’exister :

• la politique de sanctions en vigueur, la liste des régimes appliqués et l’approbation du conseil d’administration ;
• la dernière évaluation des risques liés aux sanctions et au financement de la prolifération ;
• les journaux de chargement des listes, avec leurs versions, horodatages et nombres d’entrées pour une période déterminée ;
• la configuration du filtrage : seuils, paramètres de correspondance approximative, exclusions et entrées de la liste de confiance, chacune assortie de son approbation ;
• les statistiques relatives aux alertes et un échantillon d’alertes clôturées avec leurs justifications complètes ;
• le registre des actifs gelés et des copies des déclarations envoyées à l’autorité compétente ;
• les statistiques relatives aux blocages géographiques et les résultats du dernier examen des adresses IP des comptes existants ;
• les rapports de tests, d’assurance qualité et d’audit, ainsi que le statut de chaque constat non résolu.

L’achat d’outils de filtrage auprès d’un fournisseur ne dégage pas l’entreprise de sa responsabilité : elle doit comprendre et documenter la configuration de l’outil, ainsi que les raisons qui la justifient.

Enseignements tirés des mesures de contrôle rendues publiques

Les mesures de contrôle rendues publiques à l’encontre de plateformes d’échange, de fournisseurs de portefeuilles et d’entreprises de paiement dans plusieurs régions font état des mêmes constats. Deux exemples illustrent cette tendance :

• En Lituanie, en 2024, une plateforme d’échange de cryptoactifs et un service de paiement ont été condamnés à une amende parce que, pendant plus d’un an et demi, ils avaient permis à des clients, principalement originaires de Russie, de transférer des fonds depuis et vers des banques soumises aux sanctions de l’UE, n’avaient pas identifié leurs clients de manière adéquate et avaient ignoré les demandes de l’autorité visant à mettre fin à ces pratiques. L’amende sanctionnait à la fois les violations des sanctions et les manquements aux règles de LBC.
• Aux États-Unis, plusieurs plateformes d’échange ont conclu des accords avec les autorités entre 2022 et 2023 après avoir fourni des services pendant des années à des utilisateurs se trouvant dans des territoires soumis à des sanctions globales, alors même que les adresses IP qu’elles avaient recueillies indiquaient où se trouvaient ces utilisateurs. Les conséquences comprenaient des sanctions pécuniaires et, dans le cas le plus important, la nomination de contrôleurs indépendants.

Voici les défaillances décrites sous l’angle de leurs causes :

Dans ces affaires, les sanctions ont souvent été réduites en raison de la coopération et des mesures correctives, et alourdies lorsque les entreprises connaissaient les lacunes et ont tardé à les corriger.

Points clés pour l’examen : les facteurs d’une évaluation des risques liés aux sanctions pour une entreprise du secteur des cryptoactifs ; l’exigence du FATF, introduite en octobre 2020, d’évaluer les risques de financement de la prolifération et sa définition stricte liée à la R.7 ; les rôles de gouvernance et les informations de gestion que le conseil d’administration devrait examiner ; la mise en correspondance des risques et des contrôles, notamment la conception complète de la géolocalisation ; la matrice d’escalade et la différence entre déclarations obligatoires et divulgation volontaire ; les examens rétrospectifs ; les tests des systèmes, l’assurance qualité et l’audit indépendant, ainsi que le rapprochement entre les populations soumises au filtrage et les populations existantes ; les défaillances récurrentes relevées dans les mesures de contrôle rendues publiques et les contrôles permettant d’y répondre.