Triage et enquête sur les alertes

Une alerte est une question, pas une réponse. Ce qui transforme la surveillance en conformité, c’est le travail effectué sur chaque alerte : recueillir les faits, vérifier les explications et consigner une décision qu’une autre personne pourra comprendre plusieurs mois plus tard. Les autorités de contrôle et les auditeurs examinent les alertes clôturées de plus près que presque tout autre élément d’un programme, car des enquêtes insuffisantes et des notes de clôture laconiques révèlent si la surveillance est réelle.

Le cycle de vie d’une alerte

Chaque alerte passe par les mêmes étapes, et chacune doit avoir un responsable, un délai cible et une trace écrite.

Les alertes provenant de différentes sources au sujet d’un même client doivent être regroupées dans un seul dossier, afin qu’un enquêteur dispose d’une vue d’ensemble. Les signalements internes du service client, des équipes antifraude ou des gestionnaires de relation sont également des alertes, et souvent les plus utiles.

Les délais cibles sont importants, car la Recommandation 20 du GAFI exige que les déclarations soient effectuées rapidement. Une entreprise fixe des objectifs internes pour chaque étape et suit l’ancienneté des alertes : une alerte qui reste sans traitement pendant des semaines révèle une défaillance des contrôles, même si la décision finale est correcte.

Priorisation

Les files d’attente sont rarement vides ; l’ordre de traitement compte donc. Un score de priorité fondé sur le risque combine généralement :

• la gravité du scénario (l’exposition aux sanctions, au financement du terrorisme ou à des contenus pédopornographiques est prioritaire par rapport à une règle portant sur le volume) ;
• le montant et le fait que les fonds se trouvent encore ou non sur la plateforme (un retrait en attente peut encore être bloqué) ;
• la notation du risque du client et ses antécédents en matière d’alertes ;
• le niveau d’exposition révélé par les outils d’analyse (exposition directe avant exposition indirecte, étiquettes récentes avant les anciennes) ;
• les liens avec d’autres dossiers ouverts.

Les alertes pour lesquelles les fonds peuvent encore être bloqués, ou auxquelles s’applique un blocage avant transaction, sont traitées en premier. La priorisation ne doit pas se transformer en suppression silencieuse : même les alertes de faible priorité doivent faire l’objet d’une décision dans le délai cible, ou d’une justification documentée et approuvée expliquant pourquoi elles sont clôturées par lot.

Étapes de l’enquête

Une séquence cohérente permet de rendre les enquêtes comparables et complètes.

1. Comprendre l’alerte. Quelle règle s’est déclenchée, avec quels paramètres et quelles valeurs, et pourquoi représente-t-elle un risque ?
2. Examiner le profil du client. Données recueillies lors de l’entrée en relation, profession et objectif déclarés, activité attendue, origine des fonds et du patrimoine, notation du risque, alertes et déclarations antérieures, modifications récentes des informations.
3. Examiner l’activité. Historique complet des transactions du client autour de l’alerte : dépôts, opérations de négociation, retraits, circuits en monnaie fiduciaire, transferts internes. S’agit-il d’un changement par rapport aux habitudes du client ?
4. Suivre les fonds sur la chaîne. Remonter le parcours des fonds à partir des dépôts et le suivre en aval à partir des retraits, au moyen d’outils d’analyse et d’un examen manuel (voir la leçon L’analyse de la blockchain à des fins de conformité ; pour les techniques, la leçon IDFE-BA Suivre les fonds en amont et en aval). Consigner le nombre de sauts, les services utilisés et les sources des étiquettes.
5. Vérifier les données sur les contreparties. Informations au titre de la Travel Rule provenant du PSAV contrepartie, statut de son devoir de vigilance, et concordance ou non entre le nom du bénéficiaire ou du donneur d’ordre et celui fourni par le client.
6. Utiliser les données internes. Connexions, appareils, adresses IP et géolocalisation, attributs partagés avec d’autres comptes, échanges avec le service client.
7. Interroger le client si nécessaire. Une demande d’informations (RFI) sollicite des documents ou une explication : une facture, un relevé de transaction, une preuve de vente, un document sur l’origine des fonds. Il s’agit d’une mesure normale de vigilance ; la demande doit donc être formulée de manière neutre et ne jamais mentionner un soupçon, des alertes ou une déclaration (voir la leçon Vigilance continue et fin de relation sur l’interdiction de divulguer des informations au client).
8. Conclure. Exposer l’hypothèse vérifiée, les éléments qui la soutiennent ou la contredisent, ainsi que la décision.

Les enquêteurs doivent envisager au moins une explication innocente et une explication illicite pour chaque alerte, puis consigner celle que les éléments étayent. Cela permet d’éviter à la fois les validations automatiques et le biais de confirmation.

Clôture ou transmission

La décision dépend de la capacité des éléments à expliquer l’activité, et non du temps déjà consacré à l’enquête.

La transmission n’équivaut pas à une déclaration : le responsable de la conformité ou le MLRO applique le seuil de soupçon décrit dans la leçon Obligations de déclaration des transactions suspectes et consigne son raisonnement, qu’une déclaration soit déposée ou non. La mention « aucun motif de préoccupation » ne constitue jamais, à elle seule, une justification de clôture.

Documenter le raisonnement

Une bonne note de clôture permet à un examinateur qui n’a jamais vu le dossier de comprendre, sans ouvrir d’autres systèmes, quelle alerte a été générée, quelles vérifications ont été effectuées, ce qui a été constaté et pourquoi la décision en découle. Elle comporte des faits accompagnés de leurs sources et dates, des références aux transactions (txid, montants, horodatages), l’explication et les éléments qui l’étayent, ainsi que toutes les limites, par exemple une étiquette expirée ou un traçage qui s’arrête à un service. Les notes insuffisantes indiquent « activité conforme au profil » sans préciser le contenu du profil, ou s’appuient sur la parole du client sans élément justificatif.

Un dossier structuré consigne les mêmes informations dans des champs qui peuvent être audités et comptabilisés :

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["profil examiné", "traçage de 3 sauts en amont", "comptes liés vérifiés",
            "demande d’informations envoyée le 2026-10-03, réponse reçue le 2026-10-06"],
  "findings": "Source financée par une chaîne de dispersion provenant d’un groupe attribué à une plateforme d’escroquerie à l’investissement ; deux autres clients ont reçu des fonds de la même source ; l’explication n’est pas étayée",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "retraits restreints dans l’attente d’un examen",
  "qa_sampled": true
}

Le dossier relie les alertes à un même dossier, répertorie les étapes effectuées et leurs dates, résume les constatations en termes clairs et distingue la décision de l’enquêteur de l’issue décidée par le MLRO et des mesures prises sur le compte. Des champs de ce type alimentent les indicateurs examinés dans la leçon Réglage, indicateurs et gouvernance des modèles.

Assurance qualité

L’assurance qualité consiste à réexaminer un échantillon d’alertes clôturées et transmises à l’aide d’une liste de contrôle : toutes les étapes ont-elles été effectuées ? Le raisonnement est-il étayé ? La décision est-elle correcte ? Le délai cible a-t-il été respecté ? L’échantillonnage doit être fondé sur le risque (en privilégiant les scénarios à haut risque et les nouveaux analystes) et inclure des alertes clôturées, car les erreurs coûteuses sont les alertes clôturées à tort. Les résultats sont communiqués aux analystes, utilisés lors de séances d’harmonisation où les enquêteurs prennent indépendamment une décision sur le même dossier puis les comparent, et transmis à la direction. Les erreurs récurrentes signalent un besoin de formation, une procédure peu claire ou une règle qui génère des alertes difficiles à interpréter.

Étude de cas

Le client C-20931, graphiste dont la relation avec l’entreprise a débuté il y a quatorze mois, a déclaré une activité attendue d’environ 1 000 USD par mois. Deux alertes se déclenchent le même jour : un dépôt d’environ 18 000 USD en BTC, retiré en monnaie fiduciaire vers un compte bancaire récemment ajouté dans les trois heures, et une exposition indirecte de 22 %, à deux sauts, à un groupe attribué à une plateforme d’escroquerie à l’investissement.

• Profil : le montant représente 18 fois l’activité mensuelle attendue, et aucun dépôt de cryptomonnaies de cette ampleur n’a été effectué auparavant.
• Traçage : l’adresse émettrice a été alimentée par une chaîne de dispersion provenant du groupe associé à l’escroquerie ; l’étiquette provient d’un communiqué public des forces de l’ordre datant de quatre mois.
• Liens : deux autres clients ont reçu des dépôts provenant de la même chaîne de dispersion au cours de la même semaine, et l’un d’eux partage un appareil avec C-20931.
• Demande d’informations : le client affirme que les fonds correspondent au paiement d’un ordinateur portable d’occasion, mais ne fournit ni facture ni messages, puis indique qu’un ami lui a demandé de l’aider à recevoir de l’argent.

Les éléments étayent l’hypothèse illicite : le client agit probablement comme mule financière (voir la leçon Signaux d’alerte et typologies). L’enquêteur transmet le dossier ; le MLRO dépose une déclaration, restreint les retraits dans l’attente d’un examen et ouvre des dossiers sur les deux clients liés. L’échantillon d’assurance qualité confirme ensuite la décision et relève que la date de l’étiquette a été correctement consignée.

Points clés pour l'examen : les étapes du cycle de vie d’une alerte et leurs responsables ; le regroupement des alertes en dossiers et le suivi de leur ancienneté au regard de l’exigence de rapidité de la R.20 ; la priorisation fondée sur le risque sans suppression silencieuse ; la séquence d’enquête, notamment le traçage sur la chaîne, les données sur les contreparties au titre de la Travel Rule, les données internes sur les appareils et les adresses IP, ainsi que les demandes d’informations formulées de manière neutre pour éviter toute divulgation au client ; le tableau de décision permettant de clôturer, de mettre en attente ou de transmettre ; la distinction entre transmission et déclaration ; le contenu d’une note de clôture défendable ; l’échantillonnage et l’harmonisation de l’assurance qualité fondés sur le risque.