La lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) constitue un socle essentiel de la conformité dans le secteur bancaire et financier. En raison de la nature de leurs activités, les établissements bancaires et financiers sont particulièrement exposés aux risques de blanchiment d’argent et de financement du terrorisme, bien plus que la plupart des autres secteurs.
Par conséquent, ils sont soumis à des obligations de vigilance rigoureuses, destinées à renforcer la prévention, la détection des activités illégales, la gestion des risques et les mécanismes de contrôle interne.
L’arrêté du 6 janvier 2021, publié au Journal Officiel le 16 janvier 2021 et entré en vigueur le 31 mars 2021, marque une étape significative dans le renforcement du dispositif de contrôle interne en matière de LCB-FT en France.
Ce texte s’aligne sur les recommandations du Groupe d’Action Financière (GAFI) et impose des exigences organisationnelles aux entités assujetties, telles que définies à l’article L. 561-2 du Code Monétaire et Financier (COMOFI). Ces entités incluent les établissements de crédit, les entreprises d’investissement, les compagnies d’assurance, ainsi que d’autres acteurs financiers.
Cet arrêté est complété par de nombreuses lignes directrices émises par l’Autorité de Contrôle Prudentiel et de Résolution (ACPR), parfois en collaboration avec d’autres autorités comme Tracfin ou la Direction générale du Trésor, afin de préciser les attentes en matière de LCB-FT.
Dispositif de contrôle interne en matière de LCB-FT
L’arrêté du 6 janvier 2021 couvre un champ d’application étendu, englobant l’ensemble des dispositifs de contrôle interne que les établissements bancaires et financiers doivent instaurer, les responsabilités des dirigeants, ainsi que les obligations spécifiques applicables aux groupes. Il définit les mesures de contrôle interne nécessaires pour gérer efficacement les risques auxquels ces établissements sont exposés. Ces mesures doivent être proportionnées à la nature et à la taille de l’organisme assujetti.
Ainsi, les établissements bancaires et financiers sont tenus de détailler l’organisation de leur dispositif de contrôle interne dans un rapport annuel soumis à l’Autorité de contrôle prudentiel et de résolution (ACPR), en précisant les mécanismes mis en place pour assurer une gouvernance robuste et une conformité réglementaire.
Le dispositif de contrôle interne en matière de LCB-FT des établissements bancaires repose sur une approche fondée sur les risques, qui s’articule autour de trois fonctions clés :
- Le responsable de la mise en œuvre du dispositif LCB-FT
- Le responsable du contrôle interne permanent
- Le responsable du contrôle interne périodique
Or, l’arrêté du 25 février 2021 modifie de façon minimale l’arrêté du 6 janvier 2021. Il a ajusté certains points d’organisation, concernant les articles 15 et 17 de l’arrêté du 6 janvier 2021. C’est-à-dire, les articles relatifs au responsable du contrôle interne permanent et au responsable du contrôle interne périodique.
Cet article détaille les responsabilités, les obligations et les conditions d’exercice de ces fonctions, ainsi que les possibilités de cumul ou d’externalisation, qui peuvent être mises en place par les établissements bancaires compte tenu de leur taille et de leurs exigences organisationnelles.
Le responsable de la mise en œuvre du dispositif LCB-FT
L’article L. 561-32 du COMOFI – tel que modifié par l’ordonnance n°2020-115 du 12 février 2020 – dispose que les établissements bancaires et financiers doivent désigner un responsable de la mise en œuvre du dispositif LCB-FT, possédant une connaissance approfondie des risques de blanchiment et de financement du terrorisme auxquels l’organisme est exposé.
Ce rôle peut être assuré sous certaines conditions – telles que taille de l’organisme, nature de son activité, ou risques identifiés – par un dirigeant effectif de l’établissement (cf. art. 3, alinéa 4 de l’arrêté du 6 janvier 2021)
La mission générale du responsable LCB-FT est de définir et mettre en œuvre le dispositif LCB-FT au sein de l’organisme assujetti. Ceci le conduit à assurer plusieurs tâches qui incluent :
- Validation de la classification des risques LCB-FT : Cette classification, prévue à l’article L. 561-4-1 du COMOFI, repose sur cinq critères : la nature des produits ou services offerts, les conditions de transaction, les canaux de distribution, les caractéristiques des clients, et le pays ou territoire d’origine ou de destination des fonds. Cette classification doit être régulièrement mise à jour en fonction des évolutions internes ou externes.
- Validation des procédures internes : Ces procédures englobent l’élaboration de la classification des risques, les mesures de vigilance à l’égard de la clientèle, la définition et la mise à jour du profil de risque des relations d’affaires, l’examen renforcé des opérations complexes, ainsi que les modalités de déclaration à Tracfin (cf. art. L. 561-23 du COMOFI) et de conservation des données.
- Supervision des filiales et succursales à l’étranger : Le responsable LCB-FT s’assure que ces entités respectent les réglementations locales en matière de blanchiment d’argent et de financement du terrorisme.
Le responsable LCB-FT intervient également en cas de difficulté de mise en œuvre du dispositif LCB-FT. Il est informé des dysfonctionnements, incidents ou insuffisances relevées par les systèmes de contrôle interne (cf. artt. R. 561-38-3 et R. 561-38-4 du COMOFI) ou par les autorités de contrôle nationales et étrangères, et veille à la mise en œuvre effective des mesures correctrices.
Il rend régulièrement compte aux dirigeants effectifs et à l’organe de surveillance de l’évolution du dispositif LCB-FT et des actions entreprises dans ce domaine.
Le responsable du contrôle permanent du dispositif LCB-FT
Le contrôle permanent, encadré par les articles 2, 3 et 13 de l’arrêté du 3 novembre 2014, a pour objectif de garantir la conformité des opérations réalisées par les établissements bancaires et financiers avec leurs procédures internes. Ces procédures définissent l’organisation du dispositif de contrôle interne ainsi que les modalités des activités de contrôle.
Les établissements assujettis sont tenus de nommer un responsable du contrôle permanent du dispositif de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Ce dernier doit respecter le principe d’indépendance, comme stipulé à l’article 14 de l’arrêté du 6 janvier 2021, qui exige une séparation stricte entre les fonctions opérationnelles et les fonctions de contrôle. Ainsi, les personnes chargées du contrôle des opérations doivent être exclusivement dédiées à cette mission, sans exercer d’activités opérationnelles.
Ce rôle peut être assumé par le responsable de la fonction de vérification de la conformité pour les organismes soumis au régime Solvabilité 2, et par le responsable du contrôle permanent ou par le responsable du contrôle de la conformité par les organismes soumis aux articles 16 et 28 de l’arrêté du 3 novembre 2014.
L’identité de la personne désignée doit être transmise à l’autorité de contrôle compétente, telle que l’Autorité de Contrôle Prudentiel et de Résolution (ACPR) en France.
Le responsable du contrôle permanent LCB-FT a pour mission principale de veiller à l’adéquation et à l’application effective des dispositifs et procédures LCB-FT au sein de l’établissement. Il doit également rendre compte de ses activités et des résultats de ses contrôles aux dirigeants ainsi qu’à l’organe de surveillance, comme le conseil d’administration ou le conseil de surveillance. Ce rapportage permet d’assurer une gouvernance efficace et une prise de décision éclairée en matière de conformité.
Dans le cas des structures de petite taille, il est possible, sous certaines conditions, de cumuler les fonctions de contrôle permanent et de contrôle périodique, à condition que cela ne compromette pas l’indépendance et l’efficacité des contrôles.
Le responsable du contrôle périodique du dispositif LCB-FT
Le contrôle périodique vise à évaluer l’efficacité et le caractère approprié du contrôle permanent. L’arrêté du 6 janvier 2021 précise les délais pour la mise en œuvre du contrôle périodique. Ainsi, les organismes assujettis doivent établir chaque année un programme de contrôle périodique, qui peut inclure plusieurs contrôles annuels. Ce programme doit permettre de vérifier l’ensemble de leurs activités sur une période maximale de cinq ans.
Conformément à l’article R. 561-38-4, les organismes concernés doivent désigner un responsable du contrôle périodique des dispositifs de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Cette fonction peut être confiée :
- Au responsable de l’audit interne pour les organismes soumis au régime Solvabilité 2
- Aux personnes chargées du contrôle périodique pour les organismes relevant de l’arrêté du 3 novembre 2014.
Les fonctions de contrôle périodique et permanent peuvent être cumulées, ou peuvent être confiées à un dirigeant effectif, si la taille, la nature, la complexité ou le volume de l’activité de l’organisme ne justifient pas leur séparation.
Le responsable du contrôle périodique doit être indépendant et disposer des moyens suffisants pour accomplir ses missions. Son identité doit être transmise à l’ACPR. Ce dernier rend compte de ses missions aux dirigeants et à l’organe de surveillance.
En outre, les rapports établis à la suite d’un contrôle périodique doivent être communiqués aux dirigeants, à l’organe de surveillance et, le cas échéant, au comité des risques mentionné à l’art. L.511-89 du COMOFI
Externalisation des fonctions de contrôle permanent et périodique
Conformément aux articles 9 et 10 de l’arrêté du 6 janvier 2021, les organismes soumis à cet arrêté peuvent déléguer les tâches liées à l’exécution des contrôles permanents et périodiques à un prestataire externe. Cette externalisation est soumise à des conditions strictes afin de garantir la conformité réglementaire et la protection des intérêts de l’organisme. Les principales exigences sont les suivantes :
Notification préalable à l’ACPR : L’organisme doit informer l’Autorité de contrôle prudentiel et de résolution (ACPR) de son intention de recourir à un prestataire externe pour l’exécution des contrôles, ainsi que de toute modification significative relative à cette externalisation, comme un changement de prestataire ou une évolution des modalités contractuelles.
Contrat d’externalisation détaillé : Un contrat formel doit être établi entre l’organisme et le prestataire. Ce contrat doit inclure :
- Une description claire des tâches confiées au prestataire.
- Les obligations d’information, notamment les rapports réguliers à fournir à l’organisme.
- Des mécanismes de secours pour assurer la continuité des contrôles en cas de défaillance du prestataire.
- Des exigences en matière de formation du personnel du prestataire pour garantir la qualité des contrôles.
- Des mesures strictes pour la protection des données confidentielles, conformément aux réglementations sur la protection des données (par exemple, le RGPD).
- Un droit d’accès de l’ACPR aux informations pertinentes, permettant un contrôle effectif par l’autorité.
Dans le cadre d’un groupe, les fonctions de contrôle peuvent être réalisées par une autre entité du groupe ou une entité affiliée à l’organe central, sous réserve de respecter le principe d’indépendance fonctionnelle. Cela implique que l’entité en charge des contrôles doit disposer d’une autonomie suffisante pour éviter tout conflit d’intérêts et garantir l’objectivité des contrôles effectués.
Il est également recommandé que l’organisme mette en place un plan de supervision interne pour évaluer régulièrement la performance du prestataire externe ou de l’entité du groupe en charge des contrôles.
Ce plan peut inclure des audits périodiques, des indicateurs de performance clés (KPI) et des réunions de suivi pour s’assurer que les objectifs de conformité et de qualité sont atteints. Cette démarche renforce la gouvernance et permet de détecter rapidement tout écart ou risque lié à l’externalisation.
Conclusion
L’arrêté du 6 janvier 2021 renforce les obligations des organismes assujettis en matière de LCB-FT, en précisant les rôles et responsabilités des trois fonctions clés du dispositif : mise en œuvre, contrôle permanent et contrôle périodique.
Ces fonctions, soutenues par des procédures internes rigoureuses et une stricte indépendance, visent à garantir la conformité aux réglementations nationales et internationales.
Les possibilités de cumul et d’externalisation offrent une certaine flexibilité, notamment pour les entités de petite taille, tout en maintenant un haut niveau de vigilance.
gp@giovannellapolidoro.com