Triage des alertes et investigation

Une alerte est une question, pas une réponse. Ce qui transforme la surveillance en conformité, c'est le travail effectué sur chaque alerte : recueillir les faits, examiner les explications possibles et consigner une décision qu'une autre personne pourra comprendre plusieurs mois plus tard. Les autorités de contrôle et les auditeurs examinent les alertes clôturées plus attentivement que presque tout autre élément d'un dispositif, car des investigations insuffisantes et des notes de clôture sommaires révèlent si la surveillance est effective.

Le cycle de vie d'une alerte

Chaque alerte passe par les mêmes étapes, et chaque étape nécessite un responsable, un délai de traitement et une trace écrite.

Les alertes provenant de différentes sources et concernant le même client doivent être regroupées dans un seul dossier, afin qu'un investigateur dispose d'une vue d'ensemble. Les signalements internes provenant du service client, des équipes de lutte contre la fraude ou des chargés de clientèle sont aussi des alertes, et souvent les plus fructueuses.

Les délais de traitement sont importants, car la Recommandation 20 du GAFI exige que les déclarations soient effectuées rapidement. Un établissement fixe des objectifs internes pour chaque étape et suit l'ancienneté des alertes : une alerte qui reste sans traitement pendant des semaines constitue une défaillance du dispositif de contrôle, même si la décision finale est correcte.

Hiérarchisation des priorités

Les files d'attente sont rarement vides ; l'ordre de traitement est donc important. Un score de priorité fondé sur les risques combine généralement :

• la gravité du scénario (l'exposition aux sanctions, au financement du terrorisme ou à des contenus d'abus sexuels sur enfants est prioritaire par rapport à une règle de volume) ;
• le montant et le fait que les fonds soient encore sur la plateforme ou non (un retrait en attente peut encore être bloqué) ;
• la notation de risque du client et son historique d'alertes ;
• le caractère probant de l'exposition relevée par les outils d'analyse (directe avant indirecte, étiquettes récentes avant anciennes) ;
• les liens avec d'autres dossiers ouverts.

Les alertes pour lesquelles les fonds peuvent encore être retenus ou pour lesquelles un blocage avant transaction s'applique sont traitées en premier. La hiérarchisation ne doit pas devenir une suppression silencieuse : les alertes de faible priorité doivent elles aussi faire l'objet d'une décision dans le délai de traitement, ou d'une justification documentée et approuvée de leur clôture en lot.

Étapes de l'investigation

Une séquence cohérente permet de réaliser des investigations comparables et complètes.

1. Comprendre l'alerte. Quelle règle a été déclenchée, avec quels paramètres et quelles valeurs, et pourquoi cela est-il considéré comme un risque ?
2. Examiner le profil du client. Données recueillies à l'entrée en relation, profession et objet de la relation déclarés, activité attendue, origine des fonds et du patrimoine, notation de risque, alertes et déclarations antérieures, modifications récentes des informations.
3. Examiner l'activité. Historique complet des transactions du client autour de l'alerte : dépôts, opérations de négociation, retraits, circuits en monnaie fiduciaire, transferts internes. S'agit-il d'un changement par rapport au comportement habituel du client ?
4. Tracer les flux sur la blockchain. Suivre les fonds en amont des dépôts et en aval des retraits, à l'aide d'outils d'analyse et d'un examen manuel (voir la leçon Analyse de la blockchain à des fins de conformité ; pour les techniques, la leçon IDFE-CF Traçage répondant aux exigences de preuve). Noter le nombre de sauts, les services traversés et les sources des étiquettes.
5. Vérifier les données de la contrepartie. Informations relevant de la Travel Rule provenant du VASP de la contrepartie, état des vérifications de vigilance le concernant et concordance du nom du bénéficiaire ou du donneur d'ordre avec les déclarations du client.
6. Utiliser les données internes. Connexions, appareils, adresses IP et géolocalisation, attributs partagés avec d'autres comptes, échanges avec le service client.
7. Interroger le client si nécessaire. Une demande d'informations (RFI) vise à obtenir des documents ou une explication : une facture, un relevé d'opération, une preuve de vente, un justificatif de l'origine des fonds. Il s'agit d'une mesure de vigilance normale ; elle doit donc être formulée de manière neutre et ne doit jamais mentionner de soupçons, d'alertes ou de déclaration (voir la leçon Vigilance continue et fins de relation sur la divulgation interdite).
8. Conclure. Présenter l'hypothèse examinée, les éléments qui la corroborent et ceux qui la contredisent, ainsi que la décision.

Les investigateurs doivent envisager au moins une explication licite et une explication illicite pour chaque alerte, et consigner celle que les éléments recueillis étayent. Cela permet d'éviter à la fois les validations de pure forme et le biais de confirmation.

Clôture ou remontée

La décision dépend de la capacité des éléments recueillis à expliquer l'activité, et non des efforts déjà consacrés à l'investigation.

La remontée n'est pas la même chose que la déclaration : le responsable de la conformité ou le MLRO applique le seuil de soupçon décrit dans la leçon Obligations de déclaration des transactions suspectes et consigne son raisonnement, qu'une déclaration soit effectuée ou non. Une clôture ne peut jamais se limiter à la mention « aucun problème ».

Documentation du raisonnement

Une bonne note de clôture permet à un examinateur qui n'a jamais vu le dossier de comprendre, sans ouvrir d'autres systèmes, ce qui a déclenché l'alerte, ce qui a été vérifié, ce qui a été constaté et pourquoi la décision a été prise. Elle contient des faits accompagnés de leurs sources et dates, des références aux transactions (txids, montants, horodatages), l'explication et les éléments qui l'étayent, ainsi que les éventuelles limites, telles qu'une étiquette périmée ou un traçage arrêté à un service. Les notes insuffisantes indiquent « activité conforme au profil » sans préciser ce qu'est ce profil, ou s'appuient sur les propos du client sans éléments probants.

Un dossier structuré consigne les mêmes informations dans des champs qui peuvent être audités et dénombrés :

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["profil examiné", "traçage sur 3 sauts en amont", "comptes liés vérifiés",
            "RFI envoyée le 2026-10-03, réponse reçue le 2026-10-06"],
  "findings": "Source alimentée par une chaîne de fractionnement depuis un cluster attribué à une plateforme d'escroquerie à l'investissement ; deux autres clients ont reçu des fonds de la même source ; explication non étayée",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "retraits restreints dans l'attente d'un examen",
  "qa_sampled": true
}

Le dossier relie les alertes à un seul dossier, répertorie les démarches effectuées avec leurs dates, résume les constatations en termes simples et distingue la décision de l'investigateur de l'issue donnée par le MLRO et des mesures concernant le compte. De tels champs alimentent les indicateurs abordés dans la leçon Ajustement, indicateurs et gouvernance des modèles.

Assurance qualité

L'assurance qualité réexamine un échantillon d'alertes clôturées et remontées à l'aide d'une liste de contrôle : toutes les étapes ont-elles été réalisées, le raisonnement est-il étayé, la décision était-elle correcte, le délai de traitement a-t-il été respecté ? L'échantillonnage doit être fondé sur les risques (davantage de scénarios à haut risque et de nouveaux analystes) et inclure des alertes clôturées, car les alertes clôturées à tort sont les erreurs coûteuses. Les résultats sont communiqués aux analystes, utilisés lors de séances d'harmonisation au cours desquelles les investigateurs statuent indépendamment sur le même dossier puis comparent leurs décisions, et transmis à la direction. Les erreurs récurrentes révèlent un besoin de formation, une procédure peu claire ou une règle produisant des alertes difficiles à interpréter.

Étude d'un cas

Le client C-20931, graphiste entré en relation il y a quatorze mois, avait déclaré une activité attendue d'environ USD 1 000 par mois. Deux alertes se déclenchent le même jour : un dépôt d'environ USD 18 000 en BTC, retiré en monnaie fiduciaire vers un compte bancaire nouvellement ajouté dans un délai de trois heures, et une exposition indirecte de 22 %, à deux sauts en amont, à un cluster attribué à une plateforme d'escroquerie à l'investissement.

• Profil : le montant représente 18 fois l'activité mensuelle attendue, sans dépôt antérieur de cryptoactifs de cette ampleur.
• Traçage : l'adresse émettrice a été alimentée par une chaîne de fractionnement provenant du cluster d'escroquerie ; l'étiquette provient d'un communiqué public des services répressifs daté de quatre mois auparavant.
• Liens : deux autres clients ont reçu des dépôts provenant de la même chaîne de fractionnement au cours de la même semaine, et l'un d'eux partage un appareil avec C-20931.
• RFI : le client affirme que les fonds correspondent au paiement d'un ordinateur portable d'occasion, mais ne fournit ni facture ni messages, puis déclare qu'un ami lui a demandé de l'aide pour recevoir de l'argent.

Les éléments recueillis étayent l'hypothèse illicite : le client agit probablement comme une mule financière (voir la leçon Signaux d'alerte et typologies). L'investigateur fait remonter le dossier ; le MLRO effectue une déclaration, restreint les retraits dans l'attente d'un examen et ouvre des dossiers sur les deux clients liés. L'échantillon d'assurance qualité confirme ultérieurement la décision et relève que la date de l'étiquette a été correctement consignée.

Points clés pour l'examen : les étapes du cycle de vie d'une alerte et leurs responsables ; le regroupement des alertes en dossiers et le suivi de leur ancienneté au regard de l'exigence de rapidité de la R.20 ; la hiérarchisation fondée sur les risques sans suppression silencieuse ; la séquence d'investigation, notamment le traçage sur la blockchain, les données de contrepartie relevant de la Travel Rule, les données internes relatives aux appareils et aux adresses IP, et les demandes d'informations neutres évitant la divulgation interdite ; le tableau de décision clôturer, mettre en attente, faire remonter ; la distinction entre remontée et déclaration ; le contenu d'une note de clôture défendable ; l'échantillonnage d'assurance qualité fondé sur les risques et l'harmonisation.