{"id":4347,"date":"2026-04-17T13:00:00","date_gmt":"2026-04-17T13:00:00","guid":{"rendered":"https:\/\/vanleeuwen-fcrm.eu\/?p=330"},"modified":"2026-08-12T11:57:31","modified_gmt":"2026-08-12T11:57:31","slug":"definir-lagenda-strategique-dintegrite-a-partir-dune-vision-integree-a-360-des-risques","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/fr\/engagement-envers-les-clients\/definir-lagenda-strategique-dintegrite-a-partir-dune-vision-integree-a-360-des-risques\/","title":{"rendered":"D\u00e9finir l\u2019agenda strat\u00e9gique d\u2019int\u00e9grit\u00e9 \u00e0 partir d\u2019une vision int\u00e9gr\u00e9e \u00e0 360\u00b0 des risques"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re commence par une d\u00e9cision sans \u00e9quivoque de la direction de l\u2019organisation : la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re ne doit pas \u00eatre consid\u00e9r\u00e9e comme un ensemble d\u2019obligations de conformit\u00e9 distinctes, de contr\u00f4les techniques isol\u00e9s ou de mesures d\u2019enqu\u00eate essentiellement r\u00e9actives, mais comme une composante indissociable de la strat\u00e9gie, de la gouvernance, de la prise de d\u00e9cision commerciale et de la responsabilit\u00e9 institutionnelle. Les risques de criminalit\u00e9 financi\u00e8re ne prennent pas exclusivement naissance dans les dispositifs de surveillance des transactions, de connaissance de la client\u00e8le, de filtrage des sanctions ou de d\u00e9claration r\u00e9glementaire. Ils peuvent r\u00e9sulter de choix relatifs \u00e0 certains march\u00e9s, clients, canaux de distribution, produits, flux de paiement, structures juridiques, partenaires commerciaux, cibles d\u2019acquisition, technologies ou mod\u00e8les de revenus. Une organisation qui ne reconna\u00eet pas la port\u00e9e strat\u00e9gique de ces risques s\u2019expose \u00e0 ce que des d\u00e9cisions commerciales soient prises avant que leurs implications en mati\u00e8re d\u2019int\u00e9grit\u00e9 aient \u00e9t\u00e9 examin\u00e9es, \u00e0 ce que les fonctions juridiques et de conformit\u00e9 ne soient associ\u00e9es qu\u2019apr\u00e8s la consolidation de positions devenues difficiles \u00e0 modifier, et \u00e0 ce que l\u2019audit interne constate a posteriori des d\u00e9faillances d\u00e9j\u00e0 inh\u00e9rentes au processus d\u00e9cisionnel initial. D\u00e9finir l\u2019orientation exige d\u00e8s lors une vision coh\u00e9rente \u00e0 l\u2019\u00e9chelle de l\u2019entreprise, dans laquelle les objectifs commerciaux, la responsabilit\u00e9 soci\u00e9tale, les obligations l\u00e9gales, les attentes des autorit\u00e9s de contr\u00f4le, les consid\u00e9rations fiscales, les int\u00e9r\u00eats r\u00e9putationnels et la faisabilit\u00e9 op\u00e9rationnelle sont appr\u00e9ci\u00e9s comme des facteurs interd\u00e9pendants. Cette vision doit pr\u00e9ciser non seulement les comportements qui sont inacceptables, mais \u00e9galement les formes de complexit\u00e9, d\u2019incertitude et de risque r\u00e9siduel susceptibles d\u2019\u00eatre accept\u00e9es, les conditions auxquelles une telle acceptation peut intervenir et les informations qui doivent \u00eatre disponibles avant toute d\u00e9cision. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re n\u2019acquiert une port\u00e9e concr\u00e8te que lorsque cette orientation strat\u00e9gique se refl\u00e8te de mani\u00e8re identifiable dans l\u2019acceptation des clients, le d\u00e9veloppement des produits, l\u2019approbation des transactions, l\u2019ex\u00e9cution des paiements, l\u2019externalisation, l\u2019utilisation des donn\u00e9es, les d\u00e9cisions relatives au personnel, les protocoles d\u2019enqu\u00eate, la r\u00e9ponse aux incidents, les programmes de rem\u00e9diation et le traitement des exceptions. La premi\u00e8re ligne doit \u00eatre en mesure d\u2019\u00e9tablir comment les principes d\u00e9finis \u00e0 l\u2019\u00e9chelle de l\u2019entreprise d\u00e9terminent les d\u00e9cisions quotidiennes. La deuxi\u00e8me ligne doit traduire ces principes en normes claires, cadres d\u2019\u00e9valuation, m\u00e9thodologies, attentes en mati\u00e8re de surveillance et exigences d\u2019escalade. La troisi\u00e8me ligne doit d\u00e9terminer de mani\u00e8re ind\u00e9pendante si l\u2019orientation retenue a effectivement \u00e9t\u00e9 int\u00e9gr\u00e9e, si elle est appliqu\u00e9e de fa\u00e7on coh\u00e9rente et si elle produit, de mani\u00e8re d\u00e9montrable, des r\u00e9sultats ma\u00eetris\u00e9s.<\/p>\n

D\u00e9finir l\u2019orientation suppose \u00e9galement que les tensions structurelles entre croissance, rapidit\u00e9, qualit\u00e9 de service, s\u00e9curit\u00e9 juridique, protection des donn\u00e9es, ma\u00eetrise des co\u00fbts, position fiscale, solidit\u00e9 r\u00e9glementaire et assurance ind\u00e9pendante soient gouvern\u00e9es explicitement plut\u00f4t que dissimul\u00e9es. Une strat\u00e9gie qui n\u2019existe que dans des documents de politique interne offre peu de protection lorsque les unit\u00e9s op\u00e9rationnelles appliquent des seuils de risque divergents, lorsque des clients comparables sont trait\u00e9s diff\u00e9remment selon les juridictions ou lorsque des exceptions commerciales sont autoris\u00e9es sans analyse transparente de l\u2019exposition cumul\u00e9e. La coh\u00e9rence fait \u00e9galement d\u00e9faut lorsque la deuxi\u00e8me ligne \u00e9labore des normes insuffisamment reli\u00e9es aux processus op\u00e9rationnels, ou lorsque la troisi\u00e8me ligne \u00e9value les contr\u00f4les au regard de standards qui n\u2019ont pas \u00e9t\u00e9 clairement traduits en comportements ex\u00e9cutables pour la premi\u00e8re ligne. L\u2019orientation strat\u00e9gique exige donc une discipline d\u00e9cisionnelle commune : il doit \u00eatre clair qui peut accepter un risque, qui peut imposer des conditions, qui peut restreindre ou mettre fin \u00e0 une activit\u00e9, \u00e0 quel moment une question doit \u00eatre escalad\u00e9e et quelles personnes demeurent responsables de la mise en \u0153uvre et du suivi. Le conseil d\u2019administration et les organes de surveillance doivent manifester de mani\u00e8re visible que la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re ne rel\u00e8ve pas exclusivement de la conformit\u00e9, de la direction juridique, de la gestion des risques, de la fiscalit\u00e9, de la s\u00e9curit\u00e9 ou de l\u2019audit interne. La responsabilit\u00e9 incombe \u00e0 l\u2019entreprise dans son ensemble : la premi\u00e8re ligne demeure propri\u00e9taire des risques et de leur traitement op\u00e9rationnel, la deuxi\u00e8me ligne d\u00e9finit le cadre et organise une contestation effective, tandis que la troisi\u00e8me ligne \u00e9value de mani\u00e8re ind\u00e9pendante le fonctionnement du dispositif dans sa globalit\u00e9. Les investissements dans les ressources humaines, les donn\u00e9es, les technologies, les enqu\u00eates, la formation, l\u2019am\u00e9lioration des contr\u00f4les et l\u2019assurance doivent \u00eatre reli\u00e9s aux risques de criminalit\u00e9 financi\u00e8re les plus significatifs, et non principalement r\u00e9partis en fonction de budgets historiques, de constatations r\u00e9glementaires isol\u00e9es ou de d\u00e9ficiences ponctuelles. Lorsque les premi\u00e8re, deuxi\u00e8me et troisi\u00e8me lignes agissent dans le cadre d\u2019une orientation strat\u00e9gique claire et commune, l\u2019organisation devient mieux \u00e0 m\u00eame de prendre des d\u00e9cisions coh\u00e9rentes, de reconna\u00eetre plus t\u00f4t les risques significatifs, d\u2019affecter plus efficacement les ressources limit\u00e9es et de d\u00e9montrer de mani\u00e8re plus convaincante que ses engagements publics en mati\u00e8re d\u2019int\u00e9grit\u00e9 sont effectivement soutenus par ses d\u00e9cisions et ses pratiques quotidiennes.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ambition strat\u00e9gique en mati\u00e8re de criminalit\u00e9 financi\u00e8re<\/h4>\n

Une ambition strat\u00e9gique en mati\u00e8re de ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re doit aller au-del\u00e0 d\u2019une d\u00e9claration g\u00e9n\u00e9rale selon laquelle les lois et r\u00e8glements seront respect\u00e9s ou selon laquelle toute utilisation criminelle sera refus\u00e9e. De tels principes sont n\u00e9cessaires, mais ils n\u2019apportent pas une orientation suffisante lorsque plusieurs int\u00e9r\u00eats l\u00e9gitimes se pr\u00e9sentent simultan\u00e9ment, que les informations sont incompl\u00e8tes, que les obligations juridiques ne co\u00efncident pas enti\u00e8rement avec les attentes des autorit\u00e9s de contr\u00f4le ou que la pression commerciale exige une d\u00e9cision rapide. Une ambition v\u00e9ritablement op\u00e9rationnelle doit donc d\u00e9finir le niveau d\u2019int\u00e9grit\u00e9 que l\u2019organisation entend atteindre, la position qu\u2019elle souhaite occuper sur le march\u00e9, les formes d\u2019exposition incompatibles avec ses objectifs et le degr\u00e9 de pr\u00e9vention, de d\u00e9tection, d\u2019enqu\u00eate, de r\u00e9ponse et de rem\u00e9diation consid\u00e9r\u00e9 comme appropri\u00e9. Une distinction doit \u00eatre op\u00e9r\u00e9e entre le respect minimal des obligations formelles et la d\u00e9cision strat\u00e9gique plus large d\u2019organiser les relations d\u2019affaires, les produits et les transactions d\u2019une mani\u00e8re ma\u00eetris\u00e9e, d\u00e9fendable et socialement responsable. Une institution financi\u00e8re, un prestataire de soins, une entreprise technologique, un groupe industriel ou une organisation de services professionnels peut \u00eatre soumis \u00e0 des normes juridiques comparables, tout en devant adopter une ambition diff\u00e9rente en fonction de son profil de client\u00e8le, de sa pr\u00e9sence g\u00e9ographique, de la complexit\u00e9 de ses produits, de ses flux de paiement, de son mod\u00e8le de distribution et de son r\u00f4le dans la soci\u00e9t\u00e9. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige d\u00e8s lors une approche propre \u00e0 l\u2019organisation, qui d\u00e9termine non seulement les normes applicables, mais \u00e9galement la mani\u00e8re dont la nature de l\u2019entreprise doit influencer l\u2019intensit\u00e9 de la ma\u00eetrise des risques. L\u2019ambition doit produire des effets concrets en mati\u00e8re de pr\u00e9vention de la fraude, de blanchiment de capitaux, de financement du terrorisme, de sanctions, de corruption active et passive, d\u2019int\u00e9grit\u00e9 fiscale, d\u2019abus de march\u00e9, de cybercriminalit\u00e9, de conflits d\u2019int\u00e9r\u00eats, de d\u00e9tournement d\u2019actifs et d\u2019autres formes de criminalit\u00e9 financi\u00e8re et \u00e9conomique. Elle doit \u00e9galement pr\u00e9ciser si l\u2019organisation entend seulement \u00e9viter des violations formelles ou si elle souhaite emp\u00eacher activement que ses produits, services, infrastructures, donn\u00e9es ou sa r\u00e9putation soient utilis\u00e9s pour des comportements contraires \u00e0 ses valeurs fondamentales et \u00e0 sa position dans la soci\u00e9t\u00e9.<\/p>\n

L\u2019ambition strat\u00e9gique doit \u00eatre construite \u00e0 partir d\u2019une \u00e9valuation r\u00e9aliste du contexte de l\u2019entreprise. Celle-ci n\u00e9cessite une compr\u00e9hension int\u00e9gr\u00e9e des pays dans lesquels les activit\u00e9s sont exerc\u00e9es, des secteurs dans lesquels les clients op\u00e8rent, des cat\u00e9gories de personnes physiques et morales avec lesquelles des relations sont nou\u00e9es, des m\u00e9thodes de paiement utilis\u00e9es, du degr\u00e9 d\u2019anonymat ou de distance caract\u00e9risant la prestation de services, du recours \u00e0 des interm\u00e9diaires, de la pr\u00e9sence de structures de propri\u00e9t\u00e9 complexes et de la vuln\u00e9rabilit\u00e9 des produits \u00e0 des utilisations abusives. Cette \u00e9valuation ne doit pas se limiter aux cat\u00e9gories de risque reconnues par la l\u00e9gislation ou les typologies externes. Les transformations strat\u00e9giques peuvent \u00e9galement modifier fondamentalement l\u2019exposition. Une expansion internationale peut introduire de nouveaux risques en mati\u00e8re de sanctions, de corruption et de transparence. La num\u00e9risation peut acc\u00e9l\u00e9rer la prestation de services tout en r\u00e9duisant la visibilit\u00e9 sur l\u2019identit\u00e9, l\u2019origine des fonds et le contr\u00f4le effectif. Des acquisitions peuvent introduire des dossiers clients historiques, une qualit\u00e9 de donn\u00e9es insuffisante et des pratiques de contr\u00f4le divergentes. Des mesures de r\u00e9duction des co\u00fbts peuvent centraliser certaines fonctions tout en affaiblissant les connaissances locales. De nouvelles formes de coop\u00e9ration peuvent r\u00e9partir les responsabilit\u00e9s entre des parties appliquant des normes diff\u00e9rentes. L\u2019ambition doit donc \u00eatre suffisamment pr\u00e9cise pour orienter les d\u00e9cisions actuelles et suffisamment adaptable pour r\u00e9pondre aux \u00e9volutions de l\u2019exposition. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige un processus cyclique dans lequel les plans strat\u00e9giques, les \u00e9valuations des risques, les incidents, les r\u00e9sultats des enqu\u00eates, les \u00e9volutions r\u00e9glementaires, les transformations du march\u00e9 et l\u2019assurance ind\u00e9pendante sont utilis\u00e9s conjointement afin de r\u00e9\u00e9valuer p\u00e9riodiquement l\u2019orientation. La direction doit pouvoir expliquer pourquoi certains march\u00e9s, clients, produits ou activit\u00e9s sont compatibles avec la strat\u00e9gie et pourquoi d\u2019autres formes d\u2019exposition doivent \u00eatre limit\u00e9es, soumises \u00e0 conditions ou enti\u00e8rement exclues. En l\u2019absence d\u2019une telle justification, l\u2019ambition risque de se r\u00e9duire \u00e0 des principes g\u00e9n\u00e9raux n\u2019offrant que peu de rep\u00e8res lorsque des int\u00e9r\u00eats concrets entrent en conflit.<\/p>\n

Une ambition strat\u00e9gique utilisable doit enfin \u00eatre traduite en attentes mesurables, en choix de gouvernance et en cons\u00e9quences d\u00e9montrables. Lorsqu\u2019une organisation affirme que l\u2019int\u00e9grit\u00e9 prime sur les revenus \u00e0 court terme, ce principe doit \u00eatre visible lorsqu\u2019un client important manque de transparence, lorsqu\u2019une transaction g\u00e9n\u00e8re des recettes significatives mais ne repose sur aucune justification \u00e9conomique intelligible, ou lorsqu\u2019un partenaire commercial est associ\u00e9 \u00e0 des signaux d\u00e9favorables s\u00e9rieux. Le m\u00eame principe vaut pour les d\u00e9cisions d\u2019investissement. Une ambition \u00e9lev\u00e9e ne peut \u00eatre poursuivie de mani\u00e8re cr\u00e9dible lorsque les fonctions de connaissance de la client\u00e8le demeurent structurellement sous-dimensionn\u00e9es, que la qualit\u00e9 des donn\u00e9es n\u2019est pas suffisamment am\u00e9lior\u00e9e, que les \u00e9quipes d\u2019enqu\u00eate n\u2019ont pas acc\u00e8s aux informations pertinentes ou que les unit\u00e9s op\u00e9rationnelles locales restent durablement d\u00e9pendantes de dispositifs manuels provisoires. L\u2019ambition doit donc \u00eatre reli\u00e9e aux capacit\u00e9s en personnel, \u00e0 l\u2019expertise, au soutien technologique, \u00e0 la gouvernance des donn\u00e9es, \u00e0 la conception des contr\u00f4les, aux pouvoirs d\u2019enqu\u00eate, aux m\u00e9canismes d\u2019escalade et aux v\u00e9rifications ind\u00e9pendantes. Les dispositifs de r\u00e9mun\u00e9ration et d\u2019\u00e9valuation des performances doivent \u00e9galement \u00eatre compatibles avec l\u2019orientation choisie. Il ne peut raisonnablement \u00eatre demand\u00e9 aux collaborateurs de prendre des d\u00e9cisions prudentes en mati\u00e8re de risque lorsque les objectifs commerciaux r\u00e9compensent la rapidit\u00e9 et les revenus, tandis que le fait de poser des questions critiques entra\u00eene des retards, la perte de clients ou une \u00e9valuation d\u00e9favorable. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que la direction identifie et corrige de telles contradictions. L\u2019ambition strat\u00e9gique doit \u00eatre visible dans les objectifs assign\u00e9s aux administrateurs, aux dirigeants et aux propri\u00e9taires de processus, dans l\u2019\u00e9valuation des propositions de produits, dans l\u2019approbation de l\u2019entr\u00e9e sur de nouveaux march\u00e9s et dans la r\u00e9ponse aux incidents et aux d\u00e9ficiences. Une organisation qui relie syst\u00e9matiquement son ambition aux comportements, aux ressources et \u00e0 la prise de d\u00e9cision cr\u00e9e non seulement un cadre plus clair de responsabilit\u00e9 interne, mais renforce \u00e9galement sa position \u00e0 l\u2019\u00e9gard des autorit\u00e9s de contr\u00f4le, des autorit\u00e9s de poursuite, des cocontractants, des actionnaires et des autres parties prenantes qui attendent que les d\u00e9clarations d\u2019int\u00e9grit\u00e9 correspondent de mani\u00e8re v\u00e9rifiable au fonctionnement r\u00e9el de l\u2019entreprise.<\/p>\n

Taxonomie commune des risques et langage partag\u00e9<\/h4>\n

La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re ne peut fonctionner efficacement que lorsque les premi\u00e8re, deuxi\u00e8me et troisi\u00e8me lignes utilisent une taxonomie commune des risques et un langage partag\u00e9. Dans de nombreuses organisations, des d\u00e9finitions diff\u00e9rentes sont appliqu\u00e9es \u00e0 des situations comparables. La premi\u00e8re ligne peut qualifier une situation de difficult\u00e9 commerciale, tandis que la conformit\u00e9 la consid\u00e8re comme un risque d\u2019int\u00e9grit\u00e9 li\u00e9 \u00e0 la client\u00e8le, que la direction juridique identifie une responsabilit\u00e9 potentielle, que les sp\u00e9cialistes fiscaux constatent une absence de substance commerciale et que l\u2019audit interne enregistre une d\u00e9faillance de contr\u00f4le. Chacune de ces qualifications peut \u00eatre d\u00e9fendable du point de vue de la discipline concern\u00e9e, mais l\u2019utilisation de terminologies diff\u00e9rentes peut emp\u00eacher l\u2019\u00e9mergence d\u2019une compr\u00e9hension coh\u00e9rente. Les signaux peuvent alors \u00eatre enregistr\u00e9s dans des syst\u00e8mes s\u00e9par\u00e9s, \u00e9valu\u00e9s selon des \u00e9chelles de gravit\u00e9 diff\u00e9rentes et trait\u00e9s par des canaux de gouvernance distincts. Un sch\u00e9ma constitu\u00e9 d\u2019exceptions r\u00e9p\u00e9t\u00e9es, de transactions inhabituelles, de documentation insuffisante, de modifications inexpliqu\u00e9es de la propri\u00e9t\u00e9 et de pressions commerciales peut ainsi rester inaper\u00e7u, alors m\u00eame que l\u2019information combin\u00e9e r\u00e9v\u00e8le un risque significatif de criminalit\u00e9 financi\u00e8re. Une taxonomie commune permet de rassembler ces observations sans supprimer les distinctions substantielles propres \u00e0 chaque discipline. Elle d\u00e9finit les comportements, \u00e9v\u00e9nements, vuln\u00e9rabilit\u00e9s et d\u00e9faillances de contr\u00f4le relevant de chaque cat\u00e9gorie de risque, les relations entre ces cat\u00e9gories ainsi que les modalit\u00e9s d\u2019\u00e9valuation de la gravit\u00e9, de la probabilit\u00e9, de l\u2019ampleur, de la dur\u00e9e et de la diffusion. La taxonomie ne doit pas se limiter aux infractions p\u00e9nales ou aux violations formelles. Les indicateurs, soup\u00e7ons, insuffisances, risques de facilitation, manques de transparence, pressions inhabituelles, d\u00e9ficiences de contr\u00f4le et expositions accrues doivent \u00e9galement y trouver une place identifiable. Un langage partag\u00e9 permet aux \u00e9quipes op\u00e9rationnelles, aux sp\u00e9cialistes, aux dirigeants et aux auditeurs d\u2019attribuer le m\u00eame sens aux notions essentielles et, par cons\u00e9quent, de comprendre plus rapidement quelles informations manquent, quelles incertitudes demeurent et quelle mesure doit \u00eatre prise.<\/p>\n

L\u2019\u00e9laboration d\u2019une taxonomie commune exige davantage que la simple fusion de glossaires existants. La classification doit correspondre aux processus op\u00e9rationnels r\u00e9els, aux obligations juridiques, aux exigences de d\u00e9claration externe, aux structures de donn\u00e9es et aux besoins de d\u00e9cision. Des notions telles que client, relation d\u2019affaires, b\u00e9n\u00e9ficiaire effectif, repr\u00e9sentant, b\u00e9n\u00e9ficiaire, contrepartie, interm\u00e9diaire et partie li\u00e9e peuvent, par exemple, rev\u00eatir des significations diff\u00e9rentes selon les syst\u00e8mes. Tant que ces diff\u00e9rences ne sont pas harmonis\u00e9es ou explicitement document\u00e9es, les informations ne peuvent \u00eatre combin\u00e9es de mani\u00e8re fiable. Il en va de m\u00eame pour les termes incident, avertissement, alerte, dossier, enqu\u00eate, constatation, violation, insuffisance, exception et escalade. Une alerte g\u00e9n\u00e9r\u00e9e par la surveillance des transactions ne constitue pas automatiquement un incident \u00e9tabli. Un signal non v\u00e9rifi\u00e9 n\u2019\u00e9quivaut pas \u00e0 un comportement d\u00e9montr\u00e9. Une d\u00e9rogation \u00e0 une politique peut avoir une cause administrative limit\u00e9e, mais elle peut \u00e9galement indiquer un contournement syst\u00e9matique des exigences de contr\u00f4le. La taxonomie doit pr\u00e9server ces nuances tout en \u00e9vitant que les diff\u00e9rences terminologiques soient utilis\u00e9es pour minimiser une exposition significative ou d\u00e9placer la responsabilit\u00e9. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re requiert donc des d\u00e9finitions claires, des r\u00e8gles de classification, une responsabilit\u00e9 d\u00e9finie sur la terminologie et des proc\u00e9dures de modification. Les nouvelles typologies, les \u00e9volutions technologiques, les modifications l\u00e9gislatives et les conclusions d\u2019enqu\u00eate doivent \u00eatre r\u00e9guli\u00e8rement int\u00e9gr\u00e9es \u00e0 la taxonomie. Il convient \u00e9galement de d\u00e9terminer quelles notions doivent \u00eatre uniformes dans l\u2019ensemble de l\u2019entreprise et dans quels domaines des compl\u00e9ments locaux demeurent n\u00e9cessaires en raison du syst\u00e8me juridique applicable, des caract\u00e9ristiques du march\u00e9 ou des pratiques de surveillance. Une variation locale peut \u00eatre n\u00e9cessaire, mais elle ne doit pas conduire \u00e0 des rapports incomparables ni \u00e0 une incertitude sur la gravit\u00e9 des risques. Une norme centrale assortie d\u2019extensions locales soigneusement contr\u00f4l\u00e9es offre g\u00e9n\u00e9ralement davantage de clart\u00e9 qu\u2019une uniformisation compl\u00e8te ignorant le contexte pertinent ou qu\u2019une organisation enti\u00e8rement locale rendant impossible toute analyse \u00e0 l\u2019\u00e9chelle de l\u2019entreprise.<\/p>\n

Le langage partag\u00e9 doit ensuite \u00eatre int\u00e9gr\u00e9 dans les politiques, les syst\u00e8mes, l\u2019information de gestion, la formation, les documents d\u00e9cisionnels et les activit\u00e9s d\u2019assurance. Une coh\u00e9rence r\u00e9elle ne peut \u00e9merger lorsque les d\u00e9finitions ne figurent que dans un glossaire central, tandis que les formulaires, tableaux de bord, enqu\u00eates et rapports d\u2019audit continuent d\u2019utiliser des terminologies diff\u00e9rentes. Les champs de donn\u00e9es doivent soutenir les classifications retenues. Les documents d\u2019escalade doivent indiquer clairement les cat\u00e9gories, les niveaux de gravit\u00e9 et les incertitudes concern\u00e9s. Les documents d\u00e9cisionnels doivent distinguer les faits \u00e9tablis, les hypoth\u00e8ses, les questions non r\u00e9solues, les qualifications juridiques et les appr\u00e9ciations de gouvernance. L\u2019information de gestion doit montrer comment les signaux op\u00e9rationnels, les constats de conformit\u00e9, les questions juridiques, les pr\u00e9occupations fiscales, les incidents et les constatations d\u2019audit sont reli\u00e9s. La formation doit familiariser les collaborateurs non seulement avec les d\u00e9finitions, mais \u00e9galement avec leur application pratique dans des situations concr\u00e8tes. La premi\u00e8re ligne doit comprendre \u00e0 quel moment une question commerciale constitue \u00e9galement une question d\u2019int\u00e9grit\u00e9. La deuxi\u00e8me ligne doit \u00eatre capable de traduire des informations provenant de sources diff\u00e9rentes en indicateurs de risque coh\u00e9rents et en interventions proportionn\u00e9es. La troisi\u00e8me ligne doit pouvoir d\u00e9terminer si les classifications sont appliqu\u00e9es de mani\u00e8re fiable et si les rapports de gestion refl\u00e8tent fid\u00e8lement la gravit\u00e9 r\u00e9elle de l\u2019exposition. Une taxonomie bien con\u00e7ue renforce ainsi non seulement la communication, mais \u00e9galement la qualit\u00e9 des donn\u00e9es, l\u2019analyse des tendances, la hi\u00e9rarchisation des priorit\u00e9s, la coordination des dossiers et la responsabilit\u00e9 de gouvernance. Elle permet d\u2019identifier les \u00e9v\u00e9nements qui partagent une m\u00eame cause fondamentale, les risques comparables qui sont trait\u00e9s diff\u00e9remment et les cat\u00e9gories \u00e9ventuellement d\u00e9finies de mani\u00e8re trop large ou trop restrictive. Le langage commun constitue ainsi un fondement essentiel de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re : sans terminologie partag\u00e9e, il ne peut exister de vision commune des risques ; sans vision commune des risques, aucune prise de d\u00e9cision coh\u00e9rente n\u2019est possible ; et sans prise de d\u00e9cision coh\u00e9rente, l\u2019orientation strat\u00e9gique retenue ne peut \u00eatre mise en \u0153uvre de mani\u00e8re convaincante ni \u00e9valu\u00e9e de fa\u00e7on ind\u00e9pendante.<\/p>\n

App\u00e9tence au risque, limites et tol\u00e9rance<\/h4>\n

L\u2019app\u00e9tence au risque et la tol\u00e9rance donnent un contenu concret \u00e0 l\u2019orientation strat\u00e9gique en d\u00e9terminant quels risques de criminalit\u00e9 financi\u00e8re l\u2019organisation peut accepter dans des conditions d\u00e9finies, quelles formes d\u2019exposition n\u00e9cessitent une ma\u00eetrise renforc\u00e9e et quels risques sont incompatibles avec ses objectifs. Une d\u00e9claration g\u00e9n\u00e9rale selon laquelle aucune tol\u00e9rance n\u2019existe \u00e0 l\u2019\u00e9gard de la criminalit\u00e9 financi\u00e8re est compr\u00e9hensible comme principe normatif, mais elle ne constitue pas une base suffisante pour la prise de d\u00e9cision quotidienne. Aucune organisation ne peut \u00e9liminer toute incertitude, identifier imm\u00e9diatement chaque irr\u00e9gularit\u00e9 ou emp\u00eacher totalement toute utilisation abusive. M\u00eame au sein d\u2019un dispositif robuste subsistent un risque r\u00e9siduel, des limites informationnelles, une part d\u2019appr\u00e9ciation humaine et des restrictions technologiques. Une app\u00e9tence au risque efficace doit donc distinguer le comportement criminel lui-m\u00eame, qui n\u2019est pas accept\u00e9, de la possibilit\u00e9 ma\u00eetrisable qu\u2019un produit, une relation ou un processus soit expos\u00e9 \u00e0 une utilisation abusive. Elle doit d\u00e9crire les circonstances dans lesquelles cette exposition peut \u00eatre accept\u00e9e, les mesures compensatoires requises, les approbations n\u00e9cessaires et le niveau de risque r\u00e9siduel pouvant subsister apr\u00e8s application des contr\u00f4les. Les dimensions pertinentes comprennent notamment le type de client, le secteur, la juridiction, le produit, le montant de la transaction, le canal de distribution, la complexit\u00e9 de la propri\u00e9t\u00e9, le degr\u00e9 de transparence, l\u2019intervention d\u2019interm\u00e9diaires, la rapidit\u00e9 de la prestation de services et la disponibilit\u00e9 de donn\u00e9es fiables. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que ces dimensions ne soient pas appr\u00e9ci\u00e9es uniquement de mani\u00e8re isol\u00e9e. Un client \u00e9tabli dans une juridiction \u00e0 risque accru ne se situe pas n\u00e9cessairement en dehors de l\u2019app\u00e9tence au risque, tandis qu\u2019un client apparemment peu risqu\u00e9 peut pr\u00e9senter un profil inacceptable en raison d\u2019une combinaison de structures complexes, de flux financiers inhabituels, d\u2019exposition politique et d\u2019explications insuffisantes. L\u2019\u00e9valuation doit donc \u00eatre cumulative, contextuelle et suffisamment nuanc\u00e9e.<\/p>\n

La traduction de l\u2019app\u00e9tence au risque en limites op\u00e9rationnelles exige des indicateurs clairs, des r\u00e8gles de d\u00e9cision et des niveaux d\u2019escalade. La premi\u00e8re ligne doit \u00eatre en mesure de d\u00e9terminer quelles relations ou activit\u00e9s rel\u00e8vent de son pouvoir ordinaire, \u00e0 quel moment des informations compl\u00e9mentaires sont n\u00e9cessaires et quand une approbation \u00e0 un niveau sup\u00e9rieur doit \u00eatre obtenue. La deuxi\u00e8me ligne doit fixer les mesures de contr\u00f4le minimales, les exceptions pouvant \u00eatre autoris\u00e9es et les combinaisons de facteurs pla\u00e7ant une relation ou une transaction en dehors de la tol\u00e9rance d\u00e9finie. La troisi\u00e8me ligne doit \u00e9valuer de mani\u00e8re ind\u00e9pendante si les seuils utilis\u00e9s correspondent \u00e0 l\u2019orientation strat\u00e9gique approuv\u00e9e et si les exceptions ne cr\u00e9ent pas une extension de fait de l\u2019app\u00e9tence au risque. Les principes qualitatifs doivent \u00eatre compl\u00e9t\u00e9s par des indicateurs quantitatifs lorsque cela est possible et pertinent. Ceux-ci peuvent notamment comprendre la concentration des clients dans certaines cat\u00e9gories de risque, le nombre de dossiers restant incomplets pendant une p\u00e9riode prolong\u00e9e, la valeur des transactions pr\u00e9sentant des caract\u00e9ristiques de risque \u00e9lev\u00e9, la proportion de donn\u00e9es essentielles manquantes, le nombre d\u2019exceptions aux crit\u00e8res d\u2019acceptation, les d\u00e9lais de traitement des enqu\u00eates et les d\u00e9passements r\u00e9p\u00e9t\u00e9s de limites de contr\u00f4le. Les mesures quantitatives ne doivent toutefois pas cr\u00e9er une impression trompeuse de pr\u00e9cision. Un seuil peut faciliter l\u2019identification et la gouvernance, mais il ne saurait remplacer une appr\u00e9ciation substantielle du contexte, de l\u2019intention, de la proportionnalit\u00e9 et des cons\u00e9quences potentielles. Il ne doit pas davantage \u00eatre consid\u00e9r\u00e9 comme une autorisation d\u2019accumuler une exposition illimit\u00e9e imm\u00e9diatement en dessous de ce seuil. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc une combinaison de limites mesurables, de jugement expert et d\u2019\u00e9valuation p\u00e9riodique de l\u2019exposition cumul\u00e9e. Elle doit \u00e9galement r\u00e9v\u00e9ler comment diff\u00e9rentes formes de risque se renforcent mutuellement. Une insuffisance limit\u00e9e de donn\u00e9es peut sembler acceptable isol\u00e9ment, mais, combin\u00e9e \u00e0 une connaissance insuffisante de la client\u00e8le, \u00e0 des transactions complexes et \u00e0 une expertise locale limit\u00e9e, elle peut cr\u00e9er une exposition sensiblement plus importante.<\/p>\n

L\u2019app\u00e9tence au risque doit en outre faire l\u2019objet d\u2019une gouvernance dynamique. Les changements g\u00e9opolitiques, les r\u00e9gimes de sanctions, les typologies criminelles, les \u00e9volutions technologiques, les priorit\u00e9s des autorit\u00e9s de contr\u00f4le, les comportements de march\u00e9 et la qualit\u00e9 des contr\u00f4les internes peuvent imposer une r\u00e9\u00e9valuation d\u2019expositions pr\u00e9c\u00e9demment accept\u00e9es. Les incidents, les enqu\u00eates internes et les constatations d\u2019assurance peuvent \u00e9galement d\u00e9montrer que le niveau r\u00e9el de ma\u00eetrise est inf\u00e9rieur \u00e0 celui qui avait \u00e9t\u00e9 suppos\u00e9 lors de l\u2019approbation initiale. Une organisation peut, par exemple, \u00eatre dispos\u00e9e \u00e0 servir un segment particulier de client\u00e8le tant que des informations fiables sur l\u2019origine des fonds, une expertise sp\u00e9cialis\u00e9e et une surveillance renforc\u00e9e demeurent disponibles. Lorsque le renouvellement du personnel, des d\u00e9faillances de syst\u00e8mes ou des limites de donn\u00e9es affaiblissent ces conditions, le risque r\u00e9siduel \u00e9volue m\u00eame si le segment de client\u00e8le lui-m\u00eame demeure inchang\u00e9. La gouvernance de l\u2019app\u00e9tence au risque doit donc pr\u00e9voir une r\u00e9\u00e9valuation p\u00e9riodique, des adaptations interm\u00e9diaires \u00e0 la suite d\u2019\u00e9v\u00e9nements significatifs et des proc\u00e9dures claires en cas de d\u00e9passement temporaire. Les d\u00e9passements ne doivent pas \u00eatre simplement enregistr\u00e9s, mais appr\u00e9ci\u00e9s quant \u00e0 leur cause, leur dur\u00e9e, leur impact et l\u2019intervention n\u00e9cessaire. Une acceptation temporaire peut \u00eatre d\u00e9fendable lorsqu\u2019un plan de rem\u00e9diation ma\u00eetris\u00e9 existe et que l\u2019exposition restante a \u00e9t\u00e9 express\u00e9ment approuv\u00e9e. Des d\u00e9passements structurels indiquent en revanche souvent un \u00e9cart entre l\u2019orientation formellement approuv\u00e9e et le fonctionnement r\u00e9el de l\u2019entreprise. Le conseil d\u2019administration et les organes de surveillance doivent avoir une visibilit\u00e9 sur ces deux situations et \u00eatre en mesure de d\u00e9terminer si des ressources suppl\u00e9mentaires, une limitation des activit\u00e9s, des conditions renforc\u00e9es ou la cessation de relations sont n\u00e9cessaires. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re relie ainsi directement l\u2019app\u00e9tence au risque \u00e0 la responsabilit\u00e9 de gouvernance. Le document dans lequel l\u2019app\u00e9tence est consign\u00e9e n\u2019est pas une fin en soi, mais un cadre d\u00e9cisionnel permanent qui n\u2019a de valeur que si les limites sont effectivement surveill\u00e9es, si les exceptions sont justifi\u00e9es de mani\u00e8re transparente et si l\u2019exposition r\u00e9elle conduit rapidement \u00e0 l\u2019adaptation des activit\u00e9s ou des mesures de contr\u00f4le.<\/p>\n

Propri\u00e9t\u00e9 et responsabilit\u00e9 de la premi\u00e8re ligne<\/h4>\n

La propri\u00e9t\u00e9 des risques par la premi\u00e8re ligne constitue une exigence centrale de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, car les risques de criminalit\u00e9 financi\u00e8re prennent dans une large mesure naissance dans les choix commerciaux, les processus op\u00e9rationnels et les interactions quotidiennes avec les clients, fournisseurs, collaborateurs, interm\u00e9diaires et autres relations d\u2019affaires. La premi\u00e8re ligne dispose g\u00e9n\u00e9ralement de la connaissance la plus directe de l\u2019objet d\u2019une relation, du contexte \u00e9conomique d\u2019une transaction, du fonctionnement pratique d\u2019un produit, des circonstances dans lesquelles une exception est apparue et du contexte dans lequel un comportement inhabituel devient visible. Les charg\u00e9s de relation, les \u00e9quipes commerciales, les fonctions d\u2019acceptation de la client\u00e8le, les \u00e9quipes de paiement, les achats, les services de gestion des sinistres, les responsables de produits, le management op\u00e9rationnel et les autres fonctions commerciales sont souvent les premiers \u00e0 constater que la documentation ne correspond pas aux activit\u00e9s r\u00e9elles, que les explications \u00e9voluent, que la pression commerciale est anormalement forte ou qu\u2019une transaction s\u2019\u00e9carte du profil attendu. Lorsque ces signaux sont trait\u00e9s exclusivement comme des informations destin\u00e9es \u00e0 la conformit\u00e9, la premi\u00e8re ligne risque de limiter son r\u00f4le \u00e0 la fourniture de donn\u00e9es et de transf\u00e9rer implicitement la d\u00e9cision r\u00e9elle en mati\u00e8re de risque \u00e0 une fonction sp\u00e9cialis\u00e9e. La responsabilit\u00e9 devient alors diffuse et une dynamique ind\u00e9sirable peut appara\u00eetre, dans laquelle la premi\u00e8re ligne repr\u00e9sente les int\u00e9r\u00eats commerciaux tandis que la deuxi\u00e8me ligne est cens\u00e9e emp\u00eacher \u00e0 elle seule tout risque d\u2019int\u00e9grit\u00e9. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige une r\u00e9partition diff\u00e9rente. La premi\u00e8re ligne demeure responsable de l\u2019initiation, de l\u2019ex\u00e9cution, de la surveillance, de la limitation et, lorsque cela est n\u00e9cessaire, de la cessation des activit\u00e9s dans le cadre de l\u2019orientation strat\u00e9gique d\u00e9finie. Les conseils, les cadres et la contestation fournis par la deuxi\u00e8me ligne soutiennent cette responsabilit\u00e9 sans s\u2019y substituer. M\u00eame un avis favorable de la conformit\u00e9 ne lib\u00e8re pas la premi\u00e8re ligne de son obligation de d\u00e9terminer si une relation est \u00e9conomiquement intelligible, op\u00e9rationnellement ma\u00eetrisable et compatible avec l\u2019app\u00e9tence au risque de l\u2019organisation.<\/p>\n

Une v\u00e9ritable propri\u00e9t\u00e9 exige des r\u00f4les clairs, des pouvoirs appropri\u00e9s et une expertise d\u00e9montrable. Les collaborateurs doivent comprendre quels contr\u00f4les ils sont tenus d\u2019effectuer, quelles informations doivent \u00eatre \u00e9valu\u00e9es, quels indicateurs exigent une escalade et quelles d\u00e9cisions exc\u00e8dent leur mandat. Les responsables doivent reconna\u00eetre que leur responsabilit\u00e9 ne se limite pas au respect des d\u00e9lais de traitement, des objectifs de revenus ou des normes de productivit\u00e9. Ils doivent veiller \u00e0 ce que les \u00e9valuations des risques soient substantielles, que les exceptions commerciales soient suffisamment motiv\u00e9es et que les insuffisances connues ne soient pas ignor\u00e9es afin d\u2019atteindre des objectifs op\u00e9rationnels. Les propri\u00e9taires de processus doivent pouvoir d\u00e9montrer que les contr\u00f4les sont logiquement int\u00e9gr\u00e9s dans les flux op\u00e9rationnels, que les responsabilit\u00e9s ne se perdent pas entre les \u00e9quipes et que la qualit\u00e9 de l\u2019ex\u00e9cution est r\u00e9guli\u00e8rement \u00e9valu\u00e9e. Les responsables de produits doivent int\u00e9grer les risques de criminalit\u00e9 financi\u00e8re dans la conception, la modification, la tarification, la distribution et l\u2019abandon des produits. Le management r\u00e9gional doit utiliser les connaissances locales sans affaiblir les normes d\u00e9finies \u00e0 l\u2019\u00e9chelle de l\u2019entreprise. La direction doit veiller \u00e0 ce que les capacit\u00e9s, la formation et le soutien technologique correspondent \u00e0 l\u2019ampleur et \u00e0 la complexit\u00e9 des activit\u00e9s. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige \u00e9galement que les collaborateurs disposent d\u2019un espace r\u00e9el pour poser des questions, suspendre un processus et faire remonter des pr\u00e9occupations sans subir de cons\u00e9quences n\u00e9gatives disproportionn\u00e9es sur leur \u00e9valuation ou leur carri\u00e8re. Lorsque la rapidit\u00e9 est syst\u00e9matiquement davantage r\u00e9compens\u00e9e que la prudence, ou lorsque les collaborateurs critiques sont per\u00e7us comme faisant obstacle au progr\u00e8s commercial, la propri\u00e9t\u00e9 formelle demeure priv\u00e9e de substance pratique. La responsabilit\u00e9 doit donc \u00eatre soutenue par les comportements, les incitations, la formation, la supervision et la gestion des cons\u00e9quences.<\/p>\n

La premi\u00e8re ligne doit \u00e9galement \u00eatre capable d\u2019identifier non seulement des d\u00e9faillances de contr\u00f4le isol\u00e9es, mais aussi des sch\u00e9mas plus larges et des expositions cumul\u00e9es. Un dossier client peut sembler complet lorsqu\u2019il est examin\u00e9 isol\u00e9ment, alors que sa combinaison avec des exceptions ant\u00e9rieures, des transactions impliquant des parties li\u00e9es, des modifications inhabituelles et des informations externes produit un profil de risque sensiblement diff\u00e9rent. Un produit peut, pris individuellement, rester dans les limites de l\u2019app\u00e9tence au risque, mais cr\u00e9er une vuln\u00e9rabilit\u00e9 accrue lorsqu\u2019il est combin\u00e9 \u00e0 certains canaux de distribution, juridictions et segments de client\u00e8le. La propri\u00e9t\u00e9 op\u00e9rationnelle exige donc un acc\u00e8s aux informations pertinentes et une coop\u00e9ration efficace entre les unit\u00e9s op\u00e9rationnelles. Les donn\u00e9es ne doivent pas \u00eatre fragment\u00e9es au point que les collaborateurs ne voient qu\u2019une partie limit\u00e9e de la relation. Les escalades doivent contenir suffisamment de contexte pour permettre aux d\u00e9cideurs d\u2019appr\u00e9cier l\u2019exposition dans son ensemble. Les d\u00e9cisions doivent \u00eatre document\u00e9es au regard des faits, des incertitudes, des conditions, des alternatives et des responsabilit\u00e9s de suivi. Lorsque des conditions sont impos\u00e9es \u00e0 une relation client, il doit \u00eatre clair qui v\u00e9rifiera leur respect et quelle cons\u00e9quence d\u00e9coulera d\u2019une non-conformit\u00e9. Lorsqu\u2019une exception temporaire est autoris\u00e9e, une date d\u2019expiration, une mesure de rem\u00e9diation et un responsable doivent \u00eatre d\u00e9sign\u00e9s. La troisi\u00e8me ligne doit ensuite \u00eatre en mesure de reconstituer la mani\u00e8re dont la premi\u00e8re ligne est parvenue \u00e0 sa d\u00e9cision et de d\u00e9terminer si la propri\u00e9t\u00e9 du risque a \u00e9t\u00e9 effectivement exerc\u00e9e. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re renforce ainsi la premi\u00e8re ligne non pas en centralisant toutes les responsabilit\u00e9s, mais en pla\u00e7ant la responsabilit\u00e9 au plus pr\u00e8s de la source du risque, avec le soutien de cadres clairs, d\u2019un acc\u00e8s \u00e0 l\u2019expertise et d\u2019une gouvernance transparente. Cette organisation permet d\u2019agir plus rapidement, avec davantage de discernement et de coh\u00e9rence, tout en maintenant la responsabilit\u00e9 au sein des fonctions qui prennent effectivement les d\u00e9cisions commerciales et op\u00e9rationnelles.<\/p>\n

Cadre de la deuxi\u00e8me ligne et contestation effective<\/h4>\n

La deuxi\u00e8me ligne exerce, dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, un r\u00f4le d\u2019orientation, de conseil, de surveillance et de contestation. Sa responsabilit\u00e9 centrale consiste \u00e0 traduire la l\u00e9gislation, les attentes des autorit\u00e9s de contr\u00f4le, les typologies externes, les analyses internes des risques et les principes strat\u00e9giques en un ensemble coh\u00e9rent de normes permettant \u00e0 la premi\u00e8re ligne de g\u00e9rer les risques de criminalit\u00e9 financi\u00e8re de mani\u00e8re ma\u00eetris\u00e9e. Cette responsabilit\u00e9 exige davantage que la r\u00e9daction de politiques ou la v\u00e9rification de leur respect. La deuxi\u00e8me ligne doit comprendre le fonctionnement r\u00e9el des produits, des clients, des transactions, des syst\u00e8mes et des processus op\u00e9rationnels, les int\u00e9r\u00eats qui convergent dans la prise de d\u00e9cision et les domaines dans lesquels les exigences formelles soul\u00e8vent des questions d\u2019interpr\u00e9tation pratique. Des cadres de politique qui se bornent \u00e0 r\u00e9p\u00e9ter des formulations juridiques ou r\u00e9glementaires sans les traduire clairement en responsabilit\u00e9s, seuils d\u00e9cisionnels et actions ex\u00e9cutables g\u00e9n\u00e8rent de l\u2019incertitude et des applications incoh\u00e9rentes. Dans le m\u00eame temps, la faisabilit\u00e9 op\u00e9rationnelle ne doit pas \u00eatre invoqu\u00e9e pour affaiblir des protections n\u00e9cessaires ou normaliser des insuffisances structurelles. La deuxi\u00e8me ligne doit donc assurer un \u00e9quilibre entre clart\u00e9 normative, proportionnalit\u00e9, applicabilit\u00e9 op\u00e9rationnelle et contestation ind\u00e9pendante. La conformit\u00e9, la gestion des risques, la direction juridique, la fiscalit\u00e9, la protection des donn\u00e9es, la s\u00e9curit\u00e9 et les autres fonctions sp\u00e9cialis\u00e9es peuvent repr\u00e9senter des perspectives diff\u00e9rentes. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que ces perspectives soient coordonn\u00e9es afin que la premi\u00e8re ligne ne soit pas confront\u00e9e \u00e0 des avis contradictoires, \u00e0 des demandes d\u2019informations redondantes ou \u00e0 des d\u00e9finitions diff\u00e9rentes de l\u2019exposition acceptable. Lorsque des divergences substantielles subsistent, elles doivent \u00eatre rendues visibles et r\u00e9solues par une gouvernance appropri\u00e9e.<\/p>\n

Une contestation effective signifie que la deuxi\u00e8me ligne ne se limite pas \u00e0 confirmer qu\u2019une d\u00e9cision propos\u00e9e respecte techniquement une r\u00e8gle interne, mais qu\u2019elle examine de mani\u00e8re critique si les hypoth\u00e8ses, les donn\u00e9es et la mise en balance des int\u00e9r\u00eats sur lesquelles cette d\u00e9cision repose sont suffisamment fiables. Cette fonction exige de l\u2019expertise, de l\u2019ind\u00e9pendance, un acc\u00e8s \u00e0 l\u2019information et une autorit\u00e9 organisationnelle ad\u00e9quate. Une fonction de contestation a peu de port\u00e9e lorsqu\u2019elle n\u2019est associ\u00e9e qu\u2019\u00e0 la fin du processus d\u00e9cisionnel, lorsque les engagements commerciaux sont d\u00e9j\u00e0 devenus pratiquement irr\u00e9versibles ou lorsque les avis divergents peuvent \u00eatre \u00e9cart\u00e9s sans justification substantielle. La deuxi\u00e8me ligne doit donc \u00eatre impliqu\u00e9e \u00e0 un stade appropri\u00e9 du d\u00e9veloppement des produits, de l\u2019entr\u00e9e sur de nouveaux march\u00e9s, de l\u2019acceptation de clients complexes, des transactions significatives, de l\u2019externalisation, des fusions et acquisitions, des programmes de rem\u00e9diation et d\u2019autres d\u00e9cisions ayant des implications importantes en mati\u00e8re d\u2019int\u00e9grit\u00e9. La nature de cette intervention doit \u00eatre proportionn\u00e9e. Les activit\u00e9s ordinaires peuvent \u00eatre g\u00e9r\u00e9es au moyen de cadres standardis\u00e9s, tandis que les d\u00e9cisions exceptionnelles ou \u00e0 risque \u00e9lev\u00e9 exigent une analyse approfondie. La contestation ne signifie pas que chaque d\u00e9cision doit \u00eatre reprise par la deuxi\u00e8me ligne ou qu\u2019un processus op\u00e9rationnel parall\u00e8le doit \u00eatre cr\u00e9\u00e9. Son r\u00f4le consiste \u00e0 v\u00e9rifier si la premi\u00e8re ligne a \u00e9tabli les faits pertinents, envisag\u00e9 des alternatives r\u00e9alistes, d\u00e9montr\u00e9 que les conditions sont ex\u00e9cutables et \u00e9tabli que le risque r\u00e9siduel demeure dans les limites d\u00e9finies. Il doit \u00eatre clair si un avis est contraignant, s\u2019il rev\u00eat un poids particulier ou s\u2019il est purement informatif, qui peut approuver une d\u00e9rogation et comment un d\u00e9saccord doit \u00eatre escalad\u00e9. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re \u00e9vite ainsi que la contestation d\u00e9pende de relations informelles ou du seul pouvoir de persuasion personnel. Elle devient une composante de la gouvernance formelle et peut \u00eatre reconstitu\u00e9e ult\u00e9rieurement.<\/p>\n

La deuxi\u00e8me ligne doit enfin d\u00e9montrer son efficacit\u00e9 au moyen d\u2019une surveillance fond\u00e9e sur les risques, d\u2019analyses th\u00e9matiques, d\u2019une \u00e9valuation ind\u00e9pendante des \u00e9volutions et d\u2019interventions cibl\u00e9es. La surveillance ne doit pas se limiter au comptage des d\u00e9rogations ou \u00e0 la v\u00e9rification que les formulaires ont \u00e9t\u00e9 remplis. Elle doit fournir des indications sur l\u2019efficacit\u00e9 r\u00e9elle des contr\u00f4les, la coh\u00e9rence avec laquelle les unit\u00e9s op\u00e9rationnelles traitent des situations comparables, la concentration des exceptions autour de certains clients ou responsables et la visibilit\u00e9 des causes structurelles \u00e0 l\u2019origine des d\u00e9ficiences r\u00e9currentes. Des examens th\u00e9matiques peuvent, par exemple, montrer que les exigences formelles d\u2019acceptation de la client\u00e8le sont respect\u00e9es alors que les informations sur l\u2019origine des fonds ne font pas l\u2019objet d\u2019une analyse critique. L\u2019analyse des donn\u00e9es peut r\u00e9v\u00e9ler que certaines transactions \u00e9chappent syst\u00e9matiquement \u00e0 la surveillance ordinaire. L\u2019analyse de dossiers peut montrer que les informations juridiques, fiscales et de conformit\u00e9 ne sont pas combin\u00e9es dans les d\u00e9lais requis. La deuxi\u00e8me ligne doit traduire ces constats en modifications concr\u00e8tes des normes, des syst\u00e8mes, de la formation, des \u00e9valuations des risques ou de la gouvernance. Elle doit \u00e9galement examiner p\u00e9riodiquement si ses propres cadres produisent des effets non souhait\u00e9s, tels que des charges administratives disproportionn\u00e9es, l\u2019exclusion inutile de clients l\u00e9gitimes ou le d\u00e9placement du risque vers des processus moins visibles. Une deuxi\u00e8me ligne efficace prot\u00e8ge donc non seulement la rigueur, mais \u00e9galement la qualit\u00e9, la proportionnalit\u00e9 et la coh\u00e9rence. La troisi\u00e8me ligne doit ensuite d\u00e9terminer de mani\u00e8re ind\u00e9pendante si la deuxi\u00e8me ligne dispose d\u2019une autorit\u00e9, d\u2019une expertise et d\u2019une distance suffisantes, si sa surveillance est fiable et si les insuffisances identifi\u00e9es conduisent effectivement \u00e0 des am\u00e9liorations. Dans la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, la deuxi\u00e8me ligne constitue ainsi le lien entre l\u2019orientation strat\u00e9gique et l\u2019ex\u00e9cution ma\u00eetris\u00e9e : elle rend les attentes concr\u00e8tes, organise la contestation substantielle, identifie des tendances \u00e0 l\u2019\u00e9chelle de l\u2019entreprise et prot\u00e8ge l\u2019organisation contre des d\u00e9cisions commerciales et op\u00e9rationnelles d\u00e9passant des limites d\u00e9fendables.<\/p>\n

Assurance ind\u00e9pendante de la troisi\u00e8me ligne<\/h4>\n

La troisi\u00e8me ligne exerce, au sein de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, une fonction ind\u00e9pendante et critique qui va au-del\u00e0 de la v\u00e9rification p\u00e9riodique de l\u2019existence formelle de contr\u00f4les individuels et de leur ex\u00e9cution conform\u00e9ment aux proc\u00e9dures document\u00e9es. L\u2019essence de l\u2019assurance ind\u00e9pendante r\u00e9side dans l\u2019\u00e9valuation de la question de savoir si l\u2019orientation strat\u00e9gique retenue, l\u2019app\u00e9tence au risque d\u00e9finie, les comportements et la propri\u00e9t\u00e9 exerc\u00e9e par la premi\u00e8re ligne, ainsi que les cadres et la contestation fournis par la deuxi\u00e8me ligne produisent collectivement un dispositif coh\u00e9rent, cr\u00e9dible et manifestement efficace de ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re. L\u2019audit interne doit donc aller au-del\u00e0 de la v\u00e9rification de la compl\u00e9tude des dossiers clients, de la cl\u00f4ture en temps voulu des alertes de surveillance des transactions ou de l\u2019actualit\u00e9 formelle des politiques. La troisi\u00e8me ligne doit pouvoir appr\u00e9cier si les hypoth\u00e8ses sous-jacentes \u00e0 ces processus et contr\u00f4les demeurent valables, si les risques pertinents sont couverts de mani\u00e8re suffisamment compl\u00e8te, si les responsabilit\u00e9s sont r\u00e9ellement assum\u00e9es et si l\u2019information de gestion fournit une repr\u00e9sentation fiable de l\u2019exposition r\u00e9elle. Un contr\u00f4le peut \u00eatre ex\u00e9cut\u00e9 techniquement conform\u00e9ment \u00e0 sa conception document\u00e9e tout en demeurant inefficace lorsque la segmentation des risques est d\u00e9pass\u00e9e, que les donn\u00e9es sous-jacentes sont incompl\u00e8tes, que des exceptions significatives restent syst\u00e9matiquement hors du champ d\u2019examen ou que les collaborateurs ne disposent pas d\u2019une confiance ou d\u2019une protection organisationnelle suffisante pour faire remonter des pr\u00e9occupations critiques. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc que la troisi\u00e8me ligne \u00e9value le fonctionnement du dispositif dans son ensemble plut\u00f4t que de confirmer seulement l\u2019existence de ses composantes individuelles. L\u2019attention doit porter sur les interactions entre strat\u00e9gie, gouvernance, politiques, donn\u00e9es, technologie, comportements humains, culture, prise de d\u00e9cision, r\u00e9ponse aux incidents, enqu\u00eates, rem\u00e9diation et responsabilit\u00e9 du management. Une \u00e9valuation d\u2019assurance efficace doit montrer si l\u2019organisation est capable d\u2019identifier rapidement les risques de criminalit\u00e9 financi\u00e8re, d\u2019en comprendre la port\u00e9e, de les g\u00e9rer de mani\u00e8re proportionn\u00e9e et d\u2019en rendre compte au niveau de gouvernance appropri\u00e9.<\/p>\n

L\u2019assurance ind\u00e9pendante exige une approche d\u2019audit fond\u00e9e sur les risques, la mat\u00e9rialit\u00e9 et l\u2019efficacit\u00e9 op\u00e9rationnelle r\u00e9elle. La planification de l\u2019audit doit \u00eatre reli\u00e9e \u00e0 l\u2019\u00e9valuation des risques \u00e0 l\u2019\u00e9chelle de l\u2019entreprise, aux \u00e9volutions strat\u00e9giques, aux incidents connus, aux changements r\u00e9glementaires, aux constatations ant\u00e9rieures, aux sch\u00e9mas d\u2019exception, aux informations relatives \u00e0 la performance des contr\u00f4les et aux signaux provenant des premi\u00e8re et deuxi\u00e8me lignes. Un cycle d\u2019audit statique, dans lequel chaque processus est examin\u00e9 selon un calendrier pluriannuel fixe, peut s\u2019av\u00e9rer insuffisant lorsque l\u2019exposition \u00e9volue rapidement ou lorsque des risques significatifs apparaissent dans des domaines historiquement consid\u00e9r\u00e9s comme moins importants. De nouveaux produits, des canaux de distribution num\u00e9riques, une expansion internationale, des fusions et acquisitions, des r\u00e9organisations, des dispositifs d\u2019externalisation, le renouvellement du personnel et l\u2019\u00e9volution des m\u00e9thodes criminelles peuvent modifier de mani\u00e8re substantielle tant l\u2019exposition de l\u2019organisation que la fiabilit\u00e9 de son environnement de contr\u00f4le. La troisi\u00e8me ligne doit donc conserver une flexibilit\u00e9 suffisante pour r\u00e9viser ses priorit\u00e9s d\u2019audit en cours de cycle et lancer des examens cibl\u00e9s lorsque les circonstances exigent une attention imm\u00e9diate. Son ind\u00e9pendance doit parall\u00e8lement \u00eatre prot\u00e9g\u00e9e contre les pressions du management, les r\u00e9actions d\u00e9fensives des fonctions audit\u00e9es et les tentatives de limiter l\u2019\u00e9tendue, le calendrier ou la communication de ses travaux. La troisi\u00e8me ligne doit disposer d\u2019un acc\u00e8s appropri\u00e9 et largement illimit\u00e9 aux documents, syst\u00e8mes, d\u00e9cideurs, dossiers d\u2019enqu\u00eate, rapports internes, r\u00e9clamations, analyses juridiques et correspondances externes pertinentes, sous r\u00e9serve des restrictions l\u00e9gitimes tenant \u00e0 la confidentialit\u00e9, au secret professionnel et \u00e0 la protection des donn\u00e9es. Lorsque l\u2019acc\u00e8s est limit\u00e9 ou que des informations demeurent indisponibles, l\u2019incidence de cette limitation sur l\u2019\u00e9tendue et la fiabilit\u00e9 de la conclusion d\u2019assurance doit \u00eatre express\u00e9ment indiqu\u00e9e. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que les conclusions d\u2019assurance ne soient pas exprim\u00e9es avec un niveau de certitude sup\u00e9rieur \u00e0 celui que permettent les preuves disponibles. L\u2019assurance ind\u00e9pendante doit donc distinguer clairement la conception des contr\u00f4les, leur mise en \u0153uvre et leur efficacit\u00e9 op\u00e9rationnelle, et identifier les domaines dans lesquels les preuves sont incompl\u00e8tes, la performance des contr\u00f4les est incoh\u00e9rente ou l\u2019exposition r\u00e9siduelle demeure insuffisamment comprise.<\/p>\n

La valeur de la troisi\u00e8me ligne d\u00e9pend \u00e9galement de la qualit\u00e9 de ses conclusions, de ses recommandations et de son suivi. Les constatations ne doivent pas se limiter \u00e0 indiquer de mani\u00e8re g\u00e9n\u00e9rale que des documents manquent, que les proc\u00e9dures ne sont pas appliqu\u00e9es de fa\u00e7on coh\u00e9rente ou que la supervision manag\u00e9riale doit \u00eatre renforc\u00e9e. Elles doivent expliquer la cause sous-jacente de la faiblesse, les cons\u00e9quences potentielles pour l\u2019organisation et les d\u00e9cisions de gouvernance n\u00e9cessaires pour obtenir une am\u00e9lioration durable. Une difficult\u00e9 r\u00e9currente concernant les dossiers clients peut, par exemple, r\u00e9sulter de normes impr\u00e9cises, de syst\u00e8mes inad\u00e9quats, d\u2019une expertise insuffisante, d\u2019incitations contradictoires, de charges de travail excessives ou de l\u2019acceptation consciente de retards. Chaque cause exige une intervention diff\u00e9rente. Les recommandations doivent donc \u00eatre suffisamment pr\u00e9cises pour attribuer la responsabilit\u00e9 et d\u00e9finir le r\u00e9sultat attendu, tout en restant suffisamment ind\u00e9pendantes pour \u00e9viter que l\u2019audit interne n\u2019assume la responsabilit\u00e9 de la conception ou de l\u2019ex\u00e9cution de la r\u00e9ponse de contr\u00f4le. La troisi\u00e8me ligne doit \u00e9galement d\u00e9terminer si les mesures de rem\u00e9diation traitent v\u00e9ritablement la cause initiale ou se contentent de corriger les sympt\u00f4mes administratifs visibles. Une constatation ne peut \u00eatre cl\u00f4tur\u00e9e de mani\u00e8re convaincante que lorsque des preuves d\u00e9montrent que les mesures convenues ont \u00e9t\u00e9 mises en \u0153uvre, fonctionnent durablement et produisent l\u2019effet de r\u00e9duction du risque attendu. Les actions restant ouvertes pendant une p\u00e9riode prolong\u00e9e, les extensions r\u00e9p\u00e9t\u00e9es des d\u00e9lais de rem\u00e9diation et la d\u00e9pendance persistante \u00e0 l\u2019\u00e9gard de dispositifs temporaires doivent \u00eatre signal\u00e9es s\u00e9par\u00e9ment au conseil d\u2019administration et aux organes de surveillance. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que l\u2019assurance se poursuive au-del\u00e0 de la publication d\u2019un rapport d\u2019audit et influence les priorit\u00e9s strat\u00e9giques, les d\u00e9cisions d\u2019investissement, l\u2019acceptation des risques, la responsabilit\u00e9 du management et la gestion des cons\u00e9quences. La troisi\u00e8me ligne soutient ainsi une organisation capable non seulement d\u2019affirmer qu\u2019elle applique une Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, mais \u00e9galement de d\u00e9montrer de mani\u00e8re ind\u00e9pendante o\u00f9 ses contr\u00f4les sont efficaces, o\u00f9 des incertitudes subsistent et o\u00f9 une intervention de gouvernance demeure n\u00e9cessaire.<\/p>\n

Gouvernance, mandats et droits d\u00e9cisionnels clairement d\u00e9finis<\/h4>\n

Une gouvernance efficace traduit l\u2019orientation strat\u00e9gique de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re en responsabilit\u00e9s, pouvoirs et m\u00e9canismes d\u00e9cisionnels concrets. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re ne peut fonctionner lorsque l\u2019identit\u00e9 de la personne ou de la fonction propri\u00e9taire d\u2019un risque demeure incertaine, lorsque l\u2019organe habilit\u00e9 \u00e0 d\u00e9cider n\u2019est pas identifi\u00e9, lorsqu\u2019il n\u2019est pas clair qui peut imposer des conditions, restreindre ou mettre fin \u00e0 une relation, ou lorsque l\u2019instance charg\u00e9e de r\u00e9soudre un d\u00e9saccord entre les premi\u00e8re et deuxi\u00e8me lignes n\u2019est pas d\u00e9termin\u00e9e. Dans les organisations complexes, les risques de criminalit\u00e9 financi\u00e8re sont souvent examin\u00e9s dans plusieurs instances, notamment des comit\u00e9s d\u2019acceptation des clients, des comit\u00e9s produits, des forums consacr\u00e9s aux sanctions, des comit\u00e9s d\u2019enqu\u00eate, des comit\u00e9s des risques, des comit\u00e9s de divulgation, des comit\u00e9s d\u2019audit et des organes de direction locaux. Chacune de ces instances peut remplir une fonction l\u00e9gitime, mais la fragmentation peut conduire \u00e0 ce qu\u2019une m\u00eame question soit examin\u00e9e \u00e0 plusieurs reprises et seulement de mani\u00e8re partielle, sans qu\u2019aucun organe d\u00e9cisionnel n\u2019assume la responsabilit\u00e9 du r\u00e9sultat int\u00e9gr\u00e9. \u00c0 l\u2019inverse, une centralisation excessive peut cr\u00e9er des retards, \u00e9loigner les d\u00e9cideurs de la r\u00e9alit\u00e9 op\u00e9rationnelle et surcharger les organes sup\u00e9rieurs de gouvernance de questions qui auraient pu \u00eatre trait\u00e9es de mani\u00e8re appropri\u00e9e \u00e0 un niveau inf\u00e9rieur. Une gouvernance solide exige donc une r\u00e9partition d\u00e9lib\u00e9r\u00e9e des droits d\u00e9cisionnels en fonction de la nature, de l\u2019ampleur, de la complexit\u00e9, de l\u2019urgence et de l\u2019impact potentiel du risque. La structure de gouvernance doit pr\u00e9ciser quelles d\u00e9cisions peuvent \u00eatre prises dans le cadre des pouvoirs ordinaires de la premi\u00e8re ligne, \u00e0 quel moment l\u2019avis ou l\u2019approbation de la deuxi\u00e8me ligne est obligatoire, quand une escalade vers la direction est requise et dans quelles circonstances le conseil d\u2019administration ou l\u2019organe de surveillance doit intervenir. Les mandats doivent non seulement \u00eatre formellement document\u00e9s, mais \u00e9galement \u00eatre clairement compris, op\u00e9rationnellement ex\u00e9cutables et align\u00e9s sur l\u2019expertise et le niveau de responsabilit\u00e9 r\u00e9els des d\u00e9cideurs concern\u00e9s.<\/p>\n

Des mandats clairs doivent \u00eatre soutenus par des normes d\u2019escalade transparentes et des crit\u00e8res d\u00e9cisionnels rigoureux. La simple existence d\u2019un comit\u00e9 ou d\u2019un processus d\u2019approbation ne garantit pas que les d\u00e9cisions seront substantielles, rapides ou coh\u00e9rentes. La qualit\u00e9 de la gouvernance d\u00e9pend des informations pr\u00e9sent\u00e9es aux d\u00e9cideurs, de l\u2019\u00e9ventail d\u2019expertises pertinentes mobilis\u00e9es, de la mesure dans laquelle les incertitudes sont rendues visibles et de la discipline avec laquelle les opinions divergentes sont examin\u00e9es et consign\u00e9es. Les documents d\u00e9cisionnels doivent distinguer clairement les faits v\u00e9rifi\u00e9s, les hypoth\u00e8ses, les informations manquantes, les contraintes juridiques, les attentes r\u00e9glementaires, les int\u00e9r\u00eats commerciaux et les cons\u00e9quences potentielles. Ils doivent emp\u00eacher que des d\u00e9tails techniques excessifs occultent la question centrale et \u00e9viter qu\u2019une solution privil\u00e9gi\u00e9e soit pr\u00e9sent\u00e9e sans examen v\u00e9ritable d\u2019alternatives r\u00e9alistes. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que les d\u00e9cideurs comprennent pr\u00e9cis\u00e9ment quelle exposition est accept\u00e9e, pourquoi cette exposition est consid\u00e9r\u00e9e comme compatible avec l\u2019orientation strat\u00e9gique de l\u2019organisation, quelles conditions sont n\u00e9cessaires pour la ma\u00eetriser et quel risque r\u00e9siduel subsistera apr\u00e8s l\u2019application de ces conditions. Les avis divergents et les positions minoritaires doivent \u00eatre document\u00e9s lorsqu\u2019ils sont significatifs pour l\u2019\u00e9valuation ou susceptibles de devenir pertinents lors d\u2019un examen ult\u00e9rieur. Il doit \u00e9galement \u00eatre clair quelle personne demeure responsable en dernier ressort de la mise en \u0153uvre et quelle fonction ou quel organe de gouvernance surveillera le respect des conditions impos\u00e9es. Une d\u00e9cision sans propri\u00e9taire identifi\u00e9, d\u00e9lai de mise en \u0153uvre, m\u00e9canisme de contr\u00f4le et date de r\u00e9examen pr\u00e9sente une valeur limit\u00e9e du point de vue de la gouvernance. Celle-ci doit donc non seulement permettre de prendre des d\u00e9cisions, mais \u00e9galement garantir leur mise en \u0153uvre, leur suivi, leur r\u00e9\u00e9valuation p\u00e9riodique et, lorsque cela est n\u00e9cessaire, leur modification ou leur retrait.<\/p>\n

Les mandats et les droits d\u00e9cisionnels doivent \u00e9galement demeurer effectifs sous la pression commerciale, dans l\u2019urgence op\u00e9rationnelle et dans les situations impliquant des conflits d\u2019int\u00e9r\u00eats r\u00e9els ou potentiels. C\u2019est pr\u00e9cis\u00e9ment lorsque les opportunit\u00e9s financi\u00e8res sont importantes, que les d\u00e9lais l\u00e9gaux sont courts ou que les cons\u00e9quences r\u00e9putationnelles paraissent imm\u00e9diates que le risque augmente de voir la gouvernance ordinaire abr\u00e9g\u00e9e, contourn\u00e9e ou remplac\u00e9e par des arrangements informels. Des proc\u00e9dures acc\u00e9l\u00e9r\u00e9es peuvent \u00eatre n\u00e9cessaires, mais elles doivent \u00eatre d\u00e9finies \u00e0 l\u2019avance et comporter des exigences minimales d\u2019information, des niveaux de pouvoir appropri\u00e9s, une documentation de la motivation et un examen r\u00e9trospectif rapide. Aucune proc\u00e9dure acc\u00e9l\u00e9r\u00e9e ne doit conduire \u00e0 ignorer des restrictions juridiques fondamentales, des obligations de d\u00e9claration r\u00e9glementaire, des exigences de conservation des preuves ou des garanties d\u2019ind\u00e9pendance. Les conflits d\u2019int\u00e9r\u00eats doivent \u00e9galement \u00eatre identifi\u00e9s et g\u00e9r\u00e9s explicitement. Un responsable commercialement charg\u00e9 d\u2019une relation ne doit pas, sans garanties suppl\u00e9mentaires, agir comme seul d\u00e9cideur quant \u00e0 l\u2019acceptation d\u2019un risque d\u2019int\u00e9grit\u00e9 exceptionnel au sein de cette m\u00eame relation. Une fonction d\u2019enqu\u00eate doit \u00eatre en mesure d\u2019op\u00e9rer avec une ind\u00e9pendance suffisante lorsque le sujet concerne la direction, un client strat\u00e9gique ou une unit\u00e9 repr\u00e9sentant un int\u00e9r\u00eat financier majeur. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc des pouvoirs de substitution, des voies d\u2019escalade ext\u00e9rieures \u00e0 la ligne hi\u00e9rarchique ordinaire et un acc\u00e8s direct aux organes sup\u00e9rieurs de gouvernance lorsque l\u2019ind\u00e9pendance, l\u2019objectivit\u00e9 ou la cr\u00e9dibilit\u00e9 institutionnelle sont mises sous pression. Une \u00e9valuation p\u00e9riodique de la gouvernance doit d\u00e9terminer si les comit\u00e9s prennent effectivement des d\u00e9cisions, si les mandats restent align\u00e9s sur la structure organisationnelle, si les escalades interviennent dans des d\u00e9lais appropri\u00e9s et si des situations comparables sont trait\u00e9es de mani\u00e8re coh\u00e9rente. Une gouvernance claire pr\u00e9vient ainsi non seulement l\u2019ind\u00e9cision, mais \u00e9galement les r\u00e9sultats arbitraires, les concentrations informelles de pouvoir et les acceptations de risques qui ne pourraient ult\u00e9rieurement \u00eatre ni reconstitu\u00e9es ni d\u00e9fendues.<\/p>\n

Alignement entre les politiques et la pratique<\/h4>\n

Une politique n\u2019a de valeur dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re que lorsqu\u2019elle se refl\u00e8te de mani\u00e8re identifiable, coh\u00e9rente et d\u00e9montrable dans l\u2019ex\u00e9cution quotidienne. De nombreuses organisations disposent d\u2019un ensemble \u00e9tendu de politiques, proc\u00e9dures, normes et manuels, tandis que les collaborateurs op\u00e9rationnels \u00e9prouvent encore des difficult\u00e9s \u00e0 traduire ces documents en actions et d\u00e9cisions concr\u00e8tes. Les politiques peuvent \u00eatre juridiquement pr\u00e9cises et techniquement compl\u00e8tes, tout en fournissant une orientation pratique insuffisante en raison de leur longueur, de leur abstraction, de leur complexit\u00e9 ou de leurs chevauchements. Les collaborateurs peuvent rester dans l\u2019incertitude quant aux informations \u00e0 recueillir, aux indicateurs d\u00e9cisifs, au moment o\u00f9 un dossier peut \u00eatre approuv\u00e9, aux circonstances n\u00e9cessitant un avis sp\u00e9cialis\u00e9 ou \u00e0 la mani\u00e8re dont un \u00e9cart par rapport au processus standard doit \u00eatre trait\u00e9. Une telle incertitude ouvre la voie \u00e0 des interpr\u00e9tations locales, \u00e0 des m\u00e9thodes de travail informelles et \u00e0 une application incoh\u00e9rente entre \u00e9quipes, unit\u00e9s op\u00e9rationnelles, juridictions ou syst\u00e8mes. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc que les principes strat\u00e9giques soient traduits dans une hi\u00e9rarchie coh\u00e9rente de politiques, normes, proc\u00e9dures, instructions de travail, r\u00e8gles de syst\u00e8me et crit\u00e8res d\u00e9cisionnels. Chaque niveau doit avoir une fonction distincte et se rattacher logiquement aux autres. La politique centrale doit d\u00e9terminer ce que l\u2019organisation entend atteindre et pourquoi les exigences concern\u00e9es sont n\u00e9cessaires. Les proc\u00e9dures doivent clarifier les responsabilit\u00e9s, l\u2019encha\u00eenement des \u00e9tapes et la gouvernance. Les instructions de travail et les syst\u00e8mes doivent aider les collaborateurs \u00e0 ex\u00e9cuter les actions requises avec exactitude et efficacit\u00e9. Des compl\u00e9ments locaux peuvent \u00eatre n\u00e9cessaires en raison du droit propre \u00e0 une juridiction, des conditions de march\u00e9 ou de caract\u00e9ristiques op\u00e9rationnelles, mais ils ne doivent pas entra\u00eener un niveau de protection inf\u00e9rieur sans une approbation explicite et d\u00fbment autoris\u00e9e. La traduction des politiques dans la pratique doit \u00eatre organis\u00e9e de mani\u00e8re \u00e0 ce que les collaborateurs ne soient pas contraints de r\u00e9soudre seuls les contradictions entre documents ou de d\u00e9terminer sans orientation quelle norme doit pr\u00e9valoir.<\/p>\n

Une ex\u00e9cution d\u00e9montrable exige beaucoup plus que la publication des politiques, des communications g\u00e9n\u00e9rales et des formations obligatoires. Les collaborateurs doivent \u00eatre capables d\u2019appliquer la finalit\u00e9 sous-jacente d\u2019une politique \u00e0 des situations qui ne sont pas enti\u00e8rement d\u00e9crites dans une proc\u00e9dure. Les risques de criminalit\u00e9 financi\u00e8re apparaissent fr\u00e9quemment par des combinaisons de comportements, d\u2019entit\u00e9s, de transactions et de facteurs contextuels qui ne sont pas couverts par un sc\u00e9nario standard unique. Une mise en \u0153uvre efficace doit donc combiner le transfert de connaissances avec des \u00e9tudes de cas pratiques, des orientations accessibles, un soutien manag\u00e9rial, des contr\u00f4les de qualit\u00e9 et des conseils sp\u00e9cialis\u00e9s. La formation doit \u00eatre adapt\u00e9e au r\u00f4le, au pouvoir et \u00e0 l\u2019exposition au risque du collaborateur concern\u00e9. Un charg\u00e9 de relation a besoin de connaissances et de comp\u00e9tences d\u00e9cisionnelles diff\u00e9rentes de celles d\u2019un enqu\u00eateur, d\u2019un d\u00e9veloppeur de produits, d\u2019un analyste de donn\u00e9es, d\u2019un dirigeant ou d\u2019un membre d\u2019un comit\u00e9 des risques. Les responsables doivent non seulement comprendre les exigences applicables, mais \u00e9galement savoir appr\u00e9cier la qualit\u00e9 des d\u00e9cisions, contester un raisonnement insuffisant, demander des comptes aux collaborateurs et faire remonter les obstacles structurels \u00e0 une ex\u00e9cution efficace. Les nouvelles politiques et normes doivent \u00eatre \u00e9valu\u00e9es au regard de leur faisabilit\u00e9 op\u00e9rationnelle avant une mise en \u0153uvre \u00e0 grande \u00e9chelle. Cette \u00e9valuation doit tenir compte de la disponibilit\u00e9 et de la fiabilit\u00e9 des donn\u00e9es, de la fonctionnalit\u00e9 des syst\u00e8mes, des capacit\u00e9s en personnel, des d\u00e9pendances op\u00e9rationnelles, des d\u00e9lais attendus et des effets ind\u00e9sirables potentiels. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que la mise en \u0153uvre ne soit pas consid\u00e9r\u00e9e comme une \u00e9tape finale de communication, mais comme un processus coordonn\u00e9 de transformation dans lequel les politiques, les processus, les syst\u00e8mes, les donn\u00e9es, les responsabilit\u00e9s et les comportements sont adapt\u00e9s conjointement. Lorsque de nouvelles exigences sont ajout\u00e9es sans simplifier les processus existants ni fournir un soutien technologique appropri\u00e9, une fatigue du contr\u00f4le peut appara\u00eetre et l\u2019attention peut se d\u00e9placer de l\u2019\u00e9valuation substantielle du risque vers l\u2019accomplissement administratif. Une traduction efficace des politiques exige donc \u00e9galement la suppression des exigences obsol\u00e8tes, redondantes, incoh\u00e9rentes ou disproportionn\u00e9es.<\/p>\n

Le fonctionnement r\u00e9el des politiques doit, en dernier lieu, \u00eatre mesurable, r\u00e9examinable et susceptible de v\u00e9rification ind\u00e9pendante. Le pourcentage de collaborateurs ayant suivi une formation ou le nombre de proc\u00e9dures publi\u00e9es fournit peu d\u2019indications sur la qualit\u00e9 de l\u2019ex\u00e9cution. L\u2019information de gestion doit montrer si les collaborateurs appliquent correctement les normes, si des dossiers comparables sont \u00e9valu\u00e9s de mani\u00e8re coh\u00e9rente, si le nombre d\u2019exceptions augmente et si les erreurs identifi\u00e9es conduisent \u00e0 des am\u00e9liorations cibl\u00e9es et durables. Les contr\u00f4les de qualit\u00e9, les analyses de dossiers, les observations directes, l\u2019analyse de donn\u00e9es, les entretiens et les \u00e9valuations th\u00e9matiques peuvent conjointement r\u00e9v\u00e9ler les domaines dans lesquels les politiques demeurent insuffisamment claires ou dans lesquels la pression op\u00e9rationnelle fait obstacle \u00e0 leur bonne application. Les signaux provenant des r\u00e9clamations, des signalements internes, des enqu\u00eates, des contentieux, des \u00e9changes avec les autorit\u00e9s de contr\u00f4le et de l\u2019audit interne doivent \u00eatre utilis\u00e9s pour d\u00e9terminer si les exigences formelles correspondent \u00e0 la r\u00e9alit\u00e9 op\u00e9rationnelle. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige \u00e9galement un processus ma\u00eetris\u00e9 de modification des politiques. Lorsqu\u2019une politique est modifi\u00e9e, il doit \u00eatre clair quels processus, syst\u00e8mes, contrats, supports de formation, dispositifs de rapport, activit\u00e9s de contr\u00f4le et proc\u00e9dures d\u2019assurance doivent \u00e9galement \u00e9voluer. Les versions remplac\u00e9es doivent \u00eatre retir\u00e9es, les p\u00e9riodes transitoires doivent \u00eatre g\u00e9r\u00e9es et les dossiers en cours doivent \u00eatre trait\u00e9s selon des r\u00e8gles explicites. Une modification de politique formellement approuv\u00e9e et techniquement publi\u00e9e, mais non int\u00e9gr\u00e9e dans les op\u00e9rations, peut cr\u00e9er une exposition plus importante qu\u2019une norme stable dont les limites sont comprises et activement g\u00e9r\u00e9es. L\u2019objectif ultime n\u2019est donc pas une conformit\u00e9 documentaire, mais un environnement de contr\u00f4le dans lequel les collaborateurs comprennent les attentes, les syst\u00e8mes soutiennent la m\u00e9thode de travail pr\u00e9vue et l\u2019organisation peut d\u00e9montrer de mani\u00e8re convaincante que l\u2019orientation strat\u00e9gique retenue est effectivement appliqu\u00e9e dans les d\u00e9cisions r\u00e9elles.<\/p>\n

Hi\u00e9rarchisation strat\u00e9gique des priorit\u00e9s et investissements<\/h4>\n

La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige des d\u00e9cisions d\u00e9lib\u00e9r\u00e9es quant \u00e0 l\u2019affectation de ressources limit\u00e9es. Aucune organisation ne dispose d\u2019une capacit\u00e9 illimit\u00e9e en personnel, en technologie, en donn\u00e9es fiables, en expertise d\u2019enqu\u00eate ou en attention manag\u00e9riale. En l\u2019absence de priorit\u00e9s claires, les investissements peuvent \u00eatre principalement d\u00e9termin\u00e9s par des incidents r\u00e9cents, des constatations r\u00e9glementaires isol\u00e9es, des retards op\u00e9rationnels visibles ou l\u2019influence de certaines unit\u00e9s. Des ressources substantielles peuvent alors \u00eatre consacr\u00e9es \u00e0 des risques relativement limit\u00e9s, tandis que des vuln\u00e9rabilit\u00e9s structurelles dans des processus moins visibles demeurent insuffisamment trait\u00e9es. La hi\u00e9rarchisation strat\u00e9gique doit donc commencer par une \u00e9valuation int\u00e9gr\u00e9e de l\u2019exposition inh\u00e9rente, de la qualit\u00e9 des contr\u00f4les existants, du risque r\u00e9siduel et de l\u2019impact potentiel. Cette \u00e9valuation doit aller au-del\u00e0 des pertes financi\u00e8res imm\u00e9diates ou des sanctions r\u00e9glementaires. L\u2019exposition p\u00e9nale, les restrictions affectant les agr\u00e9ments ou autorisations, la responsabilit\u00e9 civile, les redressements fiscaux, l\u2019exclusion de certains march\u00e9s, les cons\u00e9quences en mati\u00e8re de protection des donn\u00e9es, les atteintes \u00e0 la r\u00e9putation, les perturbations op\u00e9rationnelles et la perte de confiance des parties prenantes peuvent produire collectivement un impact sensiblement sup\u00e9rieur \u00e0 la valeur financi\u00e8re directe d\u2019un incident. Les priorit\u00e9s doivent \u00e9galement tenir compte de la rapidit\u00e9 avec laquelle un risque peut se d\u00e9velopper, de la possibilit\u00e9 pratique d\u2019y rem\u00e9dier, du risque de concentration et de la d\u00e9pendance \u00e0 l\u2019\u00e9gard de syst\u00e8mes, fournisseurs ou personnes essentiels. Une insuffisance de contr\u00f4le apparemment limit\u00e9e peut \u00eatre strat\u00e9giquement urgente lorsqu\u2019elle affecte une part importante du portefeuille clients, affaiblit simultan\u00e9ment plusieurs contr\u00f4les ou serait particuli\u00e8rement difficile \u00e0 corriger apr\u00e8s la survenance d\u2019un incident. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re relie donc les d\u00e9cisions d\u2019investissement \u00e0 l\u2019exposition significative et aux objectifs strat\u00e9giques plut\u00f4t qu\u2019aux seuls sch\u00e9mas historiques de d\u00e9penses, fronti\u00e8res organisationnelles ou exigences minimales formelles.<\/p>\n

Un investissement cibl\u00e9 exige une \u00e9valuation \u00e9quilibr\u00e9e des personnes, des processus, des donn\u00e9es, des technologies et de la gouvernance. Les solutions technologiques peuvent produire des am\u00e9liorations importantes dans le filtrage des sanctions, la surveillance des transactions, l\u2019analyse des r\u00e9seaux, la gestion des dossiers, le soutien aux enqu\u00eates et l\u2019information de gestion, mais elles ne peuvent r\u00e9soudre une app\u00e9tence au risque impr\u00e9cise, une propri\u00e9t\u00e9 insuffisante ou une gouvernance inad\u00e9quate. Des ressources humaines suppl\u00e9mentaires ne peuvent compenser ind\u00e9finiment une inefficacit\u00e9 structurelle lorsque les syst\u00e8mes g\u00e9n\u00e8rent un volume excessif d\u2019alertes non pertinentes, que les processus comportent des contr\u00f4les redondants ou que les collaborateurs n\u2019ont pas acc\u00e8s \u00e0 des informations fiables. Chaque investissement doit donc \u00eatre \u00e9valu\u00e9 au regard du probl\u00e8me pr\u00e9cis qu\u2019il vise \u00e0 r\u00e9soudre, des conditions n\u00e9cessaires \u00e0 sa r\u00e9ussite et de son effet attendu sur le risque r\u00e9siduel. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige une analyse d\u2019investissement claire d\u00e9crivant les co\u00fbts, les b\u00e9n\u00e9fices, la r\u00e9duction des risques, la complexit\u00e9 de la mise en \u0153uvre, les d\u00e9pendances op\u00e9rationnelles et les r\u00e9sultats mesurables. Les investissements consacr\u00e9s \u00e0 la qualit\u00e9 des donn\u00e9es m\u00e9ritent une attention particuli\u00e8re. Des donn\u00e9es incompl\u00e8tes, incoh\u00e9rentes ou inaccessibles affaiblissent presque tous les \u00e9l\u00e9ments de la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re. Sans donn\u00e9es clients fiables, informations transactionnelles, donn\u00e9es de propri\u00e9t\u00e9 et liens efficaces entre syst\u00e8mes, m\u00eame les technologies analytiques les plus sophistiqu\u00e9es fonctionneront avec une pr\u00e9cision limit\u00e9e et une couverture incompl\u00e8te. Dans le m\u00eame temps, les grands programmes technologiques ne doivent pas absorber des ressources pendant une p\u00e9riode prolong\u00e9e sans produire de r\u00e9duction interm\u00e9diaire du risque. Une mise en \u0153uvre progressive, des livrables minimaux clairement d\u00e9finis et une r\u00e9\u00e9valuation p\u00e9riodique sont n\u00e9cessaires pour \u00e9viter que les programmes strat\u00e9giques ne se d\u00e9connectent des besoins op\u00e9rationnels actuels et de l\u2019\u00e9volution des conditions de risque.<\/p>\n

La hi\u00e9rarchisation des priorit\u00e9s doit \u00e9galement se refl\u00e9ter de mani\u00e8re visible dans la budg\u00e9tisation, la gouvernance des programmes et la gestion du portefeuille d\u2019investissements. Les ressources ne doivent pas \u00eatre r\u00e9parties uniquement par fonction, unit\u00e9 op\u00e9rationnelle ou entit\u00e9 juridique lorsque les risques concern\u00e9s sont transversaux et affectent simultan\u00e9ment plusieurs parties de l\u2019organisation. Un programme central de rem\u00e9diation peut, par exemple, d\u00e9pendre d\u2019une am\u00e9lioration locale des donn\u00e9es, de modifications apport\u00e9es aux processus produits, d\u2019une analyse juridique, d\u2019un d\u00e9veloppement des syst\u00e8mes, d\u2019un recrutement sp\u00e9cialis\u00e9 et de contr\u00f4les de qualit\u00e9 suppl\u00e9mentaires. En l\u2019absence d\u2019une orientation int\u00e9gr\u00e9e, chaque fonction peut optimiser sa contribution individuelle tandis que le r\u00e9sultat global demeure insuffisant. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc un portefeuille coh\u00e9rent d\u2019investissements dans lequel les initiatives sont class\u00e9es selon leur mat\u00e9rialit\u00e9, leur urgence, leurs d\u00e9pendances et leur effet attendu sur la r\u00e9duction des risques. Les d\u00e9cideurs doivent pouvoir identifier quels risques sont consciemment trait\u00e9s \u00e0 un stade ult\u00e9rieur, quels contr\u00f4les temporaires sont utilis\u00e9s et quelles cons\u00e9quences peuvent survenir si les ressources sont r\u00e9duites ou si les projets prennent du retard. Apr\u00e8s la mise en \u0153uvre, l\u2019organisation doit d\u00e9terminer si l\u2019investissement a produit le r\u00e9sultat attendu. Un nouveau syst\u00e8me de surveillance n\u2019est pas une r\u00e9ussite du seul fait de son d\u00e9ploiement technique, mais parce qu\u2019il permet une d\u00e9tection plus pr\u00e9cise des risques pertinents, am\u00e9liore la qualit\u00e9 de l\u2019\u00e9valuation et maintient la charge op\u00e9rationnelle inutile \u00e0 un niveau proportionn\u00e9. Un programme de formation n\u2019est pas efficace simplement parce que le taux de participation est \u00e9lev\u00e9, mais parce qu\u2019il am\u00e9liore de mani\u00e8re d\u00e9montrable les comportements, le discernement et la prise de d\u00e9cision. Les investissements strat\u00e9giques doivent donc \u00eatre trait\u00e9s comme des interventions de gouvernance sur les risques de criminalit\u00e9 financi\u00e8re et soumis \u00e0 la m\u00eame discipline en mati\u00e8re de propri\u00e9t\u00e9, d\u2019objectifs, de preuves, de r\u00e9examen et de responsabilit\u00e9 que les autres d\u00e9cisions significatives de l\u2019entreprise.<\/p>\n

Surveillance du conseil d\u2019administration et responsabilit\u00e9 de la direction<\/h4>\n

Le conseil d\u2019administration et les organes de surveillance assument la responsabilit\u00e9 ultime de l\u2019orientation strat\u00e9gique, de la conception et de l\u2019efficacit\u00e9 de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Cette responsabilit\u00e9 ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e \u00e0 la conformit\u00e9, \u00e0 la direction juridique, \u00e0 la gestion des risques, \u00e0 l\u2019audit interne ou \u00e0 des comit\u00e9s sp\u00e9cialis\u00e9s. La d\u00e9l\u00e9gation de l\u2019ex\u00e9cution ne supprime pas l\u2019obligation de gouvernance de comprendre les risques de criminalit\u00e9 financi\u00e8re auxquels l\u2019organisation est expos\u00e9e, les d\u00e9cisions strat\u00e9giques qui cr\u00e9ent ou accroissent cette exposition et la question de savoir si le niveau de ma\u00eetrise disponible est proportionn\u00e9 \u00e0 la nature et \u00e0 l\u2019ampleur du risque. Les administrateurs doivent \u00eatre capables d\u2019expliquer les principales cat\u00e9gories de risques, les produits vuln\u00e9rables, les segments de client\u00e8le significatifs, les expositions g\u00e9ographiques et les d\u00e9ficiences structurelles de contr\u00f4le qui affectent l\u2019organisation. Les organes de surveillance doivent \u00e9valuer de mani\u00e8re ind\u00e9pendante si l\u2019orientation retenue est cr\u00e9dible, si le management fournit des ressources suffisantes et organise une contestation effective, et si les ambitions commerciales produisent une extension de fait de l\u2019app\u00e9tence au risque approuv\u00e9e. Cette responsabilit\u00e9 exige davantage que la r\u00e9ception p\u00e9riodique de tableaux de bord, de r\u00e9sum\u00e9s d\u2019incidents ou de rapports de rem\u00e9diation. La qualit\u00e9 de la surveillance d\u00e9pend des questions pos\u00e9es, des informations exig\u00e9es, de la qualit\u00e9 de la contestation exerc\u00e9e et de la volont\u00e9 de restreindre ou de suspendre des activit\u00e9s lorsque les contr\u00f4les demeurent insuffisants. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que le conseil d\u2019administration et les organes de surveillance consid\u00e8rent la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re comme un enjeu strat\u00e9gique de l\u2019entreprise li\u00e9 \u00e0 la continuit\u00e9, \u00e0 la r\u00e9putation, \u00e0 la position juridique, \u00e0 la l\u00e9gitimit\u00e9 sociale, \u00e0 la confiance des parties prenantes et \u00e0 l\u2019acc\u00e8s aux march\u00e9s.<\/p>\n

Une surveillance efficace du conseil d\u2019administration exige des informations fiables, \u00e9quilibr\u00e9es et orient\u00e9es vers la d\u00e9cision. Les rapports ne doivent pas se limiter au nombre d\u2019alertes, de d\u00e9clarations r\u00e9glementaires, d\u2019enqu\u00eates ou d\u2019actions de rem\u00e9diation restant ouvertes. Ils doivent fournir des indications sur les tendances, les causes, les concentrations, les exceptions, les pr\u00e9occupations relatives \u00e0 la qualit\u00e9 des contr\u00f4les et l\u2019\u00e9volution du risque r\u00e9siduel. Une diminution du nombre d\u2019alertes peut indiquer une am\u00e9lioration de la segmentation et de la qualit\u00e9 de la d\u00e9tection, mais peut \u00e9galement r\u00e9v\u00e9ler une d\u00e9faillance du syst\u00e8me, des donn\u00e9es incompl\u00e8tes ou un p\u00e9rim\u00e8tre de surveillance excessivement restreint. Une augmentation du nombre de d\u00e9clarations peut refl\u00e9ter une d\u00e9t\u00e9rioration du profil de risque, mais peut tout autant d\u00e9montrer une meilleure reconnaissance des signaux et une escalade plus efficace. Les administrateurs doivent donc disposer d\u2019un contexte suffisant pour interpr\u00e9ter les chiffres et comprendre les incertitudes qui les entourent. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige \u00e9galement que les informations positives ne soient pas pr\u00e9sent\u00e9es s\u00e9par\u00e9ment des limites significatives et des questions non r\u00e9solues. Les rapports doivent pr\u00e9ciser clairement les domaines dans lesquels les donn\u00e9es demeurent incompl\u00e8tes, les mod\u00e8les ne sont pas encore valid\u00e9s, les mesures temporaires restent en vigueur ou les unit\u00e9s op\u00e9rationnelles continuent d\u2019op\u00e9rer en dehors des limites \u00e9tablies. La deuxi\u00e8me ligne doit disposer d\u2019un acc\u00e8s direct au conseil d\u2019administration et aux organes de surveillance lorsque des pr\u00e9occupations significatives ne sont pas trait\u00e9es de mani\u00e8re ad\u00e9quate par les voies ordinaires du management. La troisi\u00e8me ligne doit pouvoir rendre compte sans restriction inappropri\u00e9e des d\u00e9ficiences affectant tant la premi\u00e8re que la deuxi\u00e8me ligne. Les analyses juridiques et les conclusions d\u2019enqu\u00eate doivent \u00e9galement \u00eatre partag\u00e9es d\u2019une mani\u00e8re permettant au conseil d\u2019exercer ses responsabilit\u00e9s de gouvernance tout en pr\u00e9servant, lorsque cela est n\u00e9cessaire, la confidentialit\u00e9, le secret professionnel et la strat\u00e9gie contentieuse. Des informations de haute qualit\u00e9 ne garantissent pas une bonne d\u00e9cision, mais des informations insuffisantes, fragment\u00e9es ou excessivement favorables rendent presque impossible une surveillance v\u00e9ritablement significative.<\/p>\n

La responsabilit\u00e9 de la direction acquiert finalement une substance au moyen de d\u00e9cisions visibles, d\u2019un suivi soutenu et de cons\u00e9quences appropri\u00e9es. Lorsque des insuffisances significatives sont connues, les administrateurs doivent d\u00e9terminer si les activit\u00e9s concern\u00e9es peuvent se poursuivre, dans quelles conditions cette poursuite demeure d\u00e9fendable et dans quel d\u00e9lai la rem\u00e9diation doit \u00eatre achev\u00e9e. Les retards r\u00e9p\u00e9t\u00e9s, les limitations structurelles de capacit\u00e9, les d\u00e9faillances r\u00e9currentes des contr\u00f4les et la d\u00e9pendance prolong\u00e9e \u00e0 l\u2019\u00e9gard de mesures temporaires ne doivent pas \u00eatre trait\u00e9s comme de simples questions op\u00e9rationnelles lorsqu\u2019ils affectent de mani\u00e8re significative le profil de risque de l\u2019organisation. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que des responsabilit\u00e9s soient attribu\u00e9es \u00e0 des administrateurs et dirigeants identifi\u00e9s, que les objectifs pertinents soient int\u00e9gr\u00e9s dans les \u00e9valuations de performance et que la n\u00e9gligence, le contournement d\u00e9lib\u00e9r\u00e9 ou l\u2019inaction persistante entra\u00eenent des cons\u00e9quences proportionn\u00e9es. Dans le m\u00eame temps, une surveillance efficace doit emp\u00eacher que la responsabilit\u00e9 ne soit exclusivement imput\u00e9e aux collaborateurs ayant commis une erreur individuelle lorsque les causes sous-jacentes r\u00e9sident dans des syst\u00e8mes insuffisants, des incitations contradictoires, un manque de personnel ou une gouvernance d\u00e9ficiente. La responsabilit\u00e9 de la direction englobe \u00e0 la fois la responsabilit\u00e9 individuelle et la responsabilit\u00e9 des conditions dans lesquelles les d\u00e9cisions sont prises et les contr\u00f4les sont cens\u00e9s fonctionner. Les organes de surveillance doivent \u00e9galement \u00e9valuer p\u00e9riodiquement s\u2019ils disposent eux-m\u00eames de l\u2019expertise, de l\u2019information, de l\u2019ind\u00e9pendance et du temps n\u00e9cessaires pour remplir efficacement leur r\u00f4le. Lorsque les connaissances ou les capacit\u00e9s sont insuffisantes, une formation cibl\u00e9e, le recours \u00e0 une expertise externe ou une modification de la composition doivent \u00eatre envisag\u00e9s. Une organisation ne peut exprimer de mani\u00e8re cr\u00e9dible son ambition en mati\u00e8re d\u2019int\u00e9grit\u00e9 que lorsque le conseil d\u2019administration et les organes de surveillance d\u00e9montrent que les risques de criminalit\u00e9 financi\u00e8re ne sont pas examin\u00e9s uniquement apr\u00e8s la survenance d\u2019un incident, mais sont structurellement int\u00e9gr\u00e9s dans la strat\u00e9gie, les investissements, la r\u00e9mun\u00e9ration, les d\u00e9cisions relatives aux produits, l\u2019entr\u00e9e sur les march\u00e9s, les acquisitions et la prise de d\u00e9cision \u00e0 l\u2019\u00e9chelle de l\u2019entreprise. L\u2019orientation strat\u00e9gique n\u2019est ainsi pas seulement d\u00e9finie, mais continuellement surveill\u00e9e, test\u00e9e, adapt\u00e9e et assum\u00e9e.<\/p>\n

Assurance ind\u00e9pendante de la troisi\u00e8me ligne<\/h4>\n

La troisi\u00e8me ligne exerce, dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, une fonction ind\u00e9pendante et critique qui d\u00e9passe largement la v\u00e9rification p\u00e9riodique de l\u2019existence formelle de contr\u00f4les individuels et de leur ex\u00e9cution conform\u00e9ment aux proc\u00e9dures document\u00e9es. L\u2019essence de l\u2019assurance ind\u00e9pendante r\u00e9side dans l\u2019\u00e9valuation de la question de savoir si l\u2019orientation strat\u00e9gique retenue, l\u2019app\u00e9tence au risque d\u00e9finie, les comportements et la propri\u00e9t\u00e9 des risques au sein de la premi\u00e8re ligne, ainsi que les cadres et la contestation organis\u00e9s par la deuxi\u00e8me ligne, produisent ensemble un dispositif coh\u00e9rent, cr\u00e9dible et manifestement efficace de ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re. L\u2019audit interne ne doit donc pas se limiter \u00e0 d\u00e9terminer si les dossiers clients sont complets, si les alertes issues de la surveillance des transactions ont \u00e9t\u00e9 cl\u00f4tur\u00e9es dans les d\u00e9lais prescrits ou si les politiques demeurent formellement \u00e0 jour. La troisi\u00e8me ligne doit \u00eatre capable d\u2019appr\u00e9cier si les hypoth\u00e8ses sur lesquelles reposent ces processus et ces contr\u00f4les restent valables, si les risques pertinents sont couverts de mani\u00e8re suffisamment compl\u00e8te, si les responsabilit\u00e9s sont effectivement assum\u00e9es et si l\u2019information de gestion fournit une repr\u00e9sentation fiable de l\u2019exposition r\u00e9elle. Un contr\u00f4le peut \u00eatre ex\u00e9cut\u00e9 techniquement conform\u00e9ment \u00e0 sa conception document\u00e9e tout en demeurant inefficace lorsque la segmentation des risques est d\u00e9pass\u00e9e, que les donn\u00e9es sous-jacentes sont incompl\u00e8tes, que des exceptions significatives restent syst\u00e9matiquement hors du champ d\u2019examen ou que les collaborateurs ne b\u00e9n\u00e9ficient pas d\u2019une confiance suffisante ou d\u2019une protection organisationnelle ad\u00e9quate pour faire remonter des pr\u00e9occupations critiques. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc que la troisi\u00e8me ligne \u00e9value le fonctionnement du dispositif dans son ensemble plut\u00f4t que de confirmer uniquement l\u2019existence de ses composantes individuelles. L\u2019analyse doit porter sur les interactions entre strat\u00e9gie, gouvernance, politiques, donn\u00e9es, technologie, comportements humains, culture, prise de d\u00e9cision, r\u00e9ponse aux incidents, enqu\u00eates, rem\u00e9diation et responsabilit\u00e9 du management. Une \u00e9valuation d\u2019assurance efficace doit d\u00e9montrer si l\u2019organisation est capable d\u2019identifier rapidement les risques de criminalit\u00e9 financi\u00e8re, d\u2019en comprendre la port\u00e9e, de les g\u00e9rer de mani\u00e8re proportionn\u00e9e et d\u2019en rendre compte au niveau de gouvernance appropri\u00e9.<\/p>\n

L\u2019assurance ind\u00e9pendante exige une approche d\u2019audit fond\u00e9e sur les risques, la mat\u00e9rialit\u00e9 et l\u2019efficacit\u00e9 op\u00e9rationnelle r\u00e9elle. La planification de l\u2019audit doit \u00eatre reli\u00e9e \u00e0 l\u2019\u00e9valuation des risques \u00e0 l\u2019\u00e9chelle de l\u2019entreprise, aux \u00e9volutions strat\u00e9giques, aux incidents connus, aux changements r\u00e9glementaires, aux constatations ant\u00e9rieures, aux sch\u00e9mas d\u2019exception, aux informations relatives \u00e0 la performance des contr\u00f4les et aux signaux provenant des premi\u00e8re et deuxi\u00e8me lignes. Un cycle d\u2019audit statique, selon lequel chaque processus est examin\u00e9 sur la base d\u2019un calendrier pluriannuel fixe, peut s\u2019av\u00e9rer insuffisant lorsque l\u2019exposition \u00e9volue rapidement ou lorsque des risques significatifs apparaissent dans des domaines historiquement consid\u00e9r\u00e9s comme moins importants. De nouveaux produits, des canaux de distribution num\u00e9riques, une expansion internationale, des fusions et acquisitions, des r\u00e9organisations, des dispositifs d\u2019externalisation, le renouvellement du personnel et l\u2019\u00e9volution des m\u00e9thodes criminelles peuvent modifier de mani\u00e8re substantielle tant l\u2019exposition de l\u2019organisation que la fiabilit\u00e9 de son environnement de contr\u00f4le. La troisi\u00e8me ligne doit donc conserver une souplesse suffisante pour r\u00e9viser ses priorit\u00e9s d\u2019audit en cours de cycle et engager des examens cibl\u00e9s lorsque les circonstances exigent une attention imm\u00e9diate. Son ind\u00e9pendance doit parall\u00e8lement \u00eatre prot\u00e9g\u00e9e contre les pressions du management, les r\u00e9actions d\u00e9fensives des fonctions audit\u00e9es et les tentatives visant \u00e0 restreindre l\u2019\u00e9tendue, le calendrier ou la communication de ses travaux. La troisi\u00e8me ligne doit disposer d\u2019un acc\u00e8s appropri\u00e9 et largement illimit\u00e9 aux documents, syst\u00e8mes, d\u00e9cideurs, dossiers d\u2019enqu\u00eate, rapports internes, r\u00e9clamations, analyses juridiques et correspondances externes pertinentes, sous r\u00e9serve des restrictions l\u00e9gitimes tenant \u00e0 la confidentialit\u00e9, au secret professionnel et \u00e0 la protection des donn\u00e9es. Lorsque l\u2019acc\u00e8s est limit\u00e9 ou que certaines informations demeurent indisponibles, l\u2019incidence de cette limitation sur l\u2019\u00e9tendue et la fiabilit\u00e9 de la conclusion d\u2019assurance doit \u00eatre express\u00e9ment indiqu\u00e9e. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que les conclusions d\u2019assurance ne soient pas formul\u00e9es avec un degr\u00e9 de certitude sup\u00e9rieur \u00e0 celui que permettent les \u00e9l\u00e9ments de preuve disponibles. L\u2019assurance ind\u00e9pendante doit donc distinguer clairement la conception des contr\u00f4les, leur mise en \u0153uvre et leur efficacit\u00e9 op\u00e9rationnelle, et identifier les domaines dans lesquels les preuves sont incompl\u00e8tes, la performance des contr\u00f4les est incoh\u00e9rente ou l\u2019exposition r\u00e9siduelle demeure insuffisamment comprise.<\/p>\n

La valeur de la troisi\u00e8me ligne d\u00e9pend \u00e9galement de la qualit\u00e9 de ses conclusions, de ses recommandations et de son suivi. Les constatations ne doivent pas se limiter \u00e0 indiquer de mani\u00e8re g\u00e9n\u00e9rale que des documents manquent, que les proc\u00e9dures ne sont pas appliqu\u00e9es de fa\u00e7on coh\u00e9rente ou que la supervision manag\u00e9riale doit \u00eatre renforc\u00e9e. Elles doivent expliquer la cause sous-jacente de la faiblesse, les cons\u00e9quences potentielles pour l\u2019organisation et les d\u00e9cisions de gouvernance n\u00e9cessaires pour obtenir une am\u00e9lioration durable. Une difficult\u00e9 r\u00e9currente concernant les dossiers clients peut, par exemple, r\u00e9sulter de normes impr\u00e9cises, de syst\u00e8mes inad\u00e9quats, d\u2019une expertise insuffisante, d\u2019incitations contradictoires, de charges de travail excessives ou de l\u2019acceptation consciente de retards. Chaque cause exige une forme d\u2019intervention diff\u00e9rente. Les recommandations doivent donc \u00eatre suffisamment pr\u00e9cises pour attribuer la responsabilit\u00e9 et d\u00e9finir le r\u00e9sultat attendu, tout en demeurant suffisamment ind\u00e9pendantes pour \u00e9viter que l\u2019audit interne n\u2019assume la responsabilit\u00e9 de la conception ou de l\u2019ex\u00e9cution de la r\u00e9ponse de contr\u00f4le. La troisi\u00e8me ligne doit \u00e9galement d\u00e9terminer si les mesures de rem\u00e9diation traitent v\u00e9ritablement la cause initiale ou se contentent de corriger les sympt\u00f4mes administratifs visibles. Une constatation ne peut \u00eatre cl\u00f4tur\u00e9e de mani\u00e8re convaincante que lorsque des preuves d\u00e9montrent que les mesures convenues ont \u00e9t\u00e9 mises en \u0153uvre, fonctionnent durablement et produisent l\u2019effet de r\u00e9duction du risque attendu. Les actions restant ouvertes pendant une p\u00e9riode prolong\u00e9e, les prolongations r\u00e9p\u00e9t\u00e9es des d\u00e9lais de rem\u00e9diation et la d\u00e9pendance persistante \u00e0 l\u2019\u00e9gard de dispositifs temporaires doivent \u00eatre signal\u00e9es s\u00e9par\u00e9ment au conseil d\u2019administration et aux organes de surveillance. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que l\u2019assurance se poursuive au-del\u00e0 de la publication d\u2019un rapport d\u2019audit et influence les priorit\u00e9s strat\u00e9giques, les d\u00e9cisions d\u2019investissement, l\u2019acceptation des risques, la responsabilit\u00e9 du management et la gestion des cons\u00e9quences. La troisi\u00e8me ligne soutient ainsi une organisation capable non seulement d\u2019affirmer qu\u2019elle applique une Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re, mais \u00e9galement de d\u00e9montrer de mani\u00e8re ind\u00e9pendante o\u00f9 ses contr\u00f4les sont efficaces, o\u00f9 des incertitudes subsistent et o\u00f9 une intervention de gouvernance demeure n\u00e9cessaire.<\/p>\n

Gouvernance, mandats et droits d\u00e9cisionnels clairement d\u00e9finis<\/h4>\n

Une gouvernance efficace traduit l\u2019orientation strat\u00e9gique de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re en responsabilit\u00e9s, pouvoirs et m\u00e9canismes d\u00e9cisionnels concrets. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re ne peut fonctionner lorsque l\u2019identit\u00e9 de la personne ou de la fonction propri\u00e9taire d\u2019un risque demeure incertaine, lorsque l\u2019organe habilit\u00e9 \u00e0 d\u00e9cider n\u2019est pas identifi\u00e9, lorsqu\u2019il n\u2019est pas clair qui peut imposer des conditions, restreindre ou mettre fin \u00e0 une relation, ou lorsque l\u2019instance charg\u00e9e de r\u00e9soudre un d\u00e9saccord entre les premi\u00e8re et deuxi\u00e8me lignes n\u2019est pas d\u00e9termin\u00e9e. Dans les organisations complexes, les risques de criminalit\u00e9 financi\u00e8re sont souvent examin\u00e9s dans plusieurs instances, notamment des comit\u00e9s d\u2019acceptation des clients, des comit\u00e9s produits, des forums consacr\u00e9s aux sanctions, des comit\u00e9s d\u2019enqu\u00eate, des comit\u00e9s des risques, des comit\u00e9s de divulgation, des comit\u00e9s d\u2019audit et des organes de direction locaux. Chacune de ces instances peut remplir une fonction l\u00e9gitime, mais la fragmentation peut conduire \u00e0 ce qu\u2019une m\u00eame question soit examin\u00e9e \u00e0 plusieurs reprises et seulement de mani\u00e8re partielle, sans qu\u2019aucun organe d\u00e9cisionnel n\u2019assume la responsabilit\u00e9 du r\u00e9sultat int\u00e9gr\u00e9. \u00c0 l\u2019inverse, une centralisation excessive peut cr\u00e9er des retards, \u00e9loigner les d\u00e9cideurs de la r\u00e9alit\u00e9 op\u00e9rationnelle et surcharger les organes sup\u00e9rieurs de gouvernance de questions qui auraient pu \u00eatre trait\u00e9es de mani\u00e8re appropri\u00e9e \u00e0 un niveau inf\u00e9rieur. Une gouvernance solide exige donc une r\u00e9partition d\u00e9lib\u00e9r\u00e9e des droits d\u00e9cisionnels en fonction de la nature, de l\u2019ampleur, de la complexit\u00e9, de l\u2019urgence et de l\u2019impact potentiel du risque. La structure de gouvernance doit pr\u00e9ciser quelles d\u00e9cisions peuvent \u00eatre prises dans le cadre des pouvoirs ordinaires de la premi\u00e8re ligne, \u00e0 quel moment l\u2019avis ou l\u2019approbation de la deuxi\u00e8me ligne est obligatoire, quand une escalade vers la direction est requise et dans quelles circonstances le conseil d\u2019administration ou l\u2019organe de surveillance doit intervenir. Les mandats doivent non seulement \u00eatre formellement document\u00e9s, mais \u00e9galement \u00eatre clairement compris, op\u00e9rationnellement ex\u00e9cutables et align\u00e9s sur l\u2019expertise et le niveau de responsabilit\u00e9 r\u00e9els des d\u00e9cideurs concern\u00e9s.<\/p>\n

Des mandats clairs doivent \u00eatre soutenus par des normes d\u2019escalade transparentes et des crit\u00e8res d\u00e9cisionnels rigoureux. La simple existence d\u2019un comit\u00e9 ou d\u2019un processus d\u2019approbation ne garantit pas que les d\u00e9cisions seront substantielles, rapides ou coh\u00e9rentes. La qualit\u00e9 de la gouvernance d\u00e9pend des informations pr\u00e9sent\u00e9es aux d\u00e9cideurs, de l\u2019\u00e9ventail d\u2019expertises pertinentes mobilis\u00e9es, de la mesure dans laquelle les incertitudes sont rendues visibles et de la discipline avec laquelle les opinions divergentes sont examin\u00e9es et consign\u00e9es. Les documents d\u00e9cisionnels doivent distinguer clairement les faits v\u00e9rifi\u00e9s, les hypoth\u00e8ses, les informations manquantes, les contraintes juridiques, les attentes r\u00e9glementaires, les int\u00e9r\u00eats commerciaux et les cons\u00e9quences potentielles. Ils doivent emp\u00eacher que des d\u00e9tails techniques excessifs occultent la question centrale et \u00e9viter qu\u2019une solution privil\u00e9gi\u00e9e soit pr\u00e9sent\u00e9e sans v\u00e9ritable examen d\u2019alternatives r\u00e9alistes. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que les d\u00e9cideurs comprennent pr\u00e9cis\u00e9ment quelle exposition est accept\u00e9e, pourquoi cette exposition est consid\u00e9r\u00e9e comme compatible avec l\u2019orientation strat\u00e9gique de l\u2019organisation, quelles conditions sont n\u00e9cessaires pour la ma\u00eetriser et quel risque r\u00e9siduel subsistera apr\u00e8s l\u2019application de ces conditions. Les avis divergents et les positions minoritaires doivent \u00eatre document\u00e9s lorsqu\u2019ils sont significatifs pour l\u2019\u00e9valuation ou susceptibles de devenir pertinents lors d\u2019un examen ult\u00e9rieur. Il doit \u00e9galement \u00eatre clair quelle personne demeure responsable en dernier ressort de la mise en \u0153uvre et quelle fonction ou quel organe de gouvernance surveillera le respect des conditions impos\u00e9es. Une d\u00e9cision sans propri\u00e9taire identifi\u00e9, d\u00e9lai de mise en \u0153uvre, m\u00e9canisme de contr\u00f4le et date de r\u00e9examen pr\u00e9sente une valeur limit\u00e9e du point de vue de la gouvernance. Celle-ci doit donc non seulement permettre de prendre des d\u00e9cisions, mais \u00e9galement garantir leur mise en \u0153uvre, leur suivi, leur r\u00e9\u00e9valuation p\u00e9riodique et, lorsque cela est n\u00e9cessaire, leur modification ou leur retrait.<\/p>\n

Les mandats et les droits d\u00e9cisionnels doivent \u00e9galement demeurer effectifs sous la pression commerciale, dans l\u2019urgence op\u00e9rationnelle et dans les situations impliquant des conflits d\u2019int\u00e9r\u00eats r\u00e9els ou potentiels. C\u2019est pr\u00e9cis\u00e9ment lorsque les opportunit\u00e9s financi\u00e8res sont importantes, que les d\u00e9lais l\u00e9gaux sont courts ou que les cons\u00e9quences r\u00e9putationnelles paraissent imm\u00e9diates que le risque augmente de voir la gouvernance ordinaire abr\u00e9g\u00e9e, contourn\u00e9e ou remplac\u00e9e par des arrangements informels. Des proc\u00e9dures acc\u00e9l\u00e9r\u00e9es peuvent \u00eatre n\u00e9cessaires, mais elles doivent \u00eatre d\u00e9finies \u00e0 l\u2019avance et comporter des exigences minimales d\u2019information, des niveaux de pouvoir appropri\u00e9s, une documentation de la motivation et un examen r\u00e9trospectif rapide. Aucune proc\u00e9dure acc\u00e9l\u00e9r\u00e9e ne doit conduire \u00e0 ignorer des restrictions juridiques fondamentales, des obligations de d\u00e9claration r\u00e9glementaire, des exigences de conservation des preuves ou des garanties d\u2019ind\u00e9pendance. Les conflits d\u2019int\u00e9r\u00eats doivent \u00e9galement \u00eatre identifi\u00e9s et g\u00e9r\u00e9s explicitement. Un responsable commercialement charg\u00e9 d\u2019une relation ne doit pas, sans garanties suppl\u00e9mentaires, agir comme seul d\u00e9cideur quant \u00e0 l\u2019acceptation d\u2019un risque d\u2019int\u00e9grit\u00e9 exceptionnel au sein de cette m\u00eame relation. Une fonction d\u2019enqu\u00eate doit \u00eatre en mesure d\u2019op\u00e9rer avec une ind\u00e9pendance suffisante lorsque le sujet concerne la direction, un client strat\u00e9gique ou une unit\u00e9 repr\u00e9sentant un int\u00e9r\u00eat financier majeur. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc des pouvoirs de substitution, des voies d\u2019escalade ext\u00e9rieures \u00e0 la ligne hi\u00e9rarchique ordinaire et un acc\u00e8s direct aux organes sup\u00e9rieurs de gouvernance lorsque l\u2019ind\u00e9pendance, l\u2019objectivit\u00e9 ou la cr\u00e9dibilit\u00e9 institutionnelle sont mises sous pression. Une \u00e9valuation p\u00e9riodique de la gouvernance doit d\u00e9terminer si les comit\u00e9s prennent effectivement des d\u00e9cisions, si les mandats restent align\u00e9s sur la structure organisationnelle, si les escalades interviennent dans des d\u00e9lais appropri\u00e9s et si des situations comparables sont trait\u00e9es de mani\u00e8re coh\u00e9rente. Une gouvernance claire pr\u00e9vient ainsi non seulement l\u2019ind\u00e9cision, mais \u00e9galement les r\u00e9sultats arbitraires, les concentrations informelles de pouvoir et les acceptations de risques qui ne pourraient ult\u00e9rieurement \u00eatre ni reconstitu\u00e9es ni d\u00e9fendues.<\/p>\n

Alignement entre les politiques et la pratique<\/h4>\n

Une politique n\u2019a de valeur dans le cadre de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re que lorsqu\u2019elle se refl\u00e8te de mani\u00e8re identifiable, coh\u00e9rente et d\u00e9montrable dans l\u2019ex\u00e9cution quotidienne. De nombreuses organisations disposent d\u2019un ensemble \u00e9tendu de politiques, proc\u00e9dures, normes et manuels, tandis que les collaborateurs op\u00e9rationnels \u00e9prouvent encore des difficult\u00e9s \u00e0 traduire ces documents en actions et d\u00e9cisions concr\u00e8tes. Les politiques peuvent \u00eatre juridiquement pr\u00e9cises et techniquement compl\u00e8tes, tout en fournissant une orientation pratique insuffisante en raison de leur longueur, de leur abstraction, de leur complexit\u00e9 ou de leurs chevauchements. Les collaborateurs peuvent rester dans l\u2019incertitude quant aux informations \u00e0 recueillir, aux indicateurs d\u00e9cisifs, au moment o\u00f9 un dossier peut \u00eatre approuv\u00e9, aux circonstances n\u00e9cessitant un avis sp\u00e9cialis\u00e9 ou \u00e0 la mani\u00e8re dont un \u00e9cart par rapport au processus standard doit \u00eatre trait\u00e9. Une telle incertitude ouvre la voie \u00e0 des interpr\u00e9tations locales, \u00e0 des m\u00e9thodes de travail informelles et \u00e0 une application incoh\u00e9rente entre \u00e9quipes, unit\u00e9s op\u00e9rationnelles, juridictions ou syst\u00e8mes. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc que les principes strat\u00e9giques soient traduits dans une hi\u00e9rarchie coh\u00e9rente de politiques, normes, proc\u00e9dures, instructions de travail, r\u00e8gles de syst\u00e8me et crit\u00e8res d\u00e9cisionnels. Chaque niveau doit avoir une fonction distincte et se rattacher logiquement aux autres. La politique centrale doit d\u00e9terminer ce que l\u2019organisation entend atteindre et pourquoi les exigences concern\u00e9es sont n\u00e9cessaires. Les proc\u00e9dures doivent clarifier les responsabilit\u00e9s, l\u2019encha\u00eenement des \u00e9tapes et la gouvernance. Les instructions de travail et les syst\u00e8mes doivent aider les collaborateurs \u00e0 ex\u00e9cuter les actions requises avec exactitude et efficacit\u00e9. Des compl\u00e9ments locaux peuvent \u00eatre n\u00e9cessaires en raison du droit propre \u00e0 une juridiction, des conditions de march\u00e9 ou de caract\u00e9ristiques op\u00e9rationnelles, mais ils ne doivent pas entra\u00eener un niveau de protection inf\u00e9rieur sans une approbation explicite et d\u00fbment autoris\u00e9e. La traduction des politiques dans la pratique doit \u00eatre organis\u00e9e de mani\u00e8re \u00e0 ce que les collaborateurs ne soient pas contraints de r\u00e9soudre seuls les contradictions entre documents ou de d\u00e9terminer sans orientation quelle norme doit pr\u00e9valoir.<\/p>\n

Une ex\u00e9cution d\u00e9montrable exige beaucoup plus que la publication des politiques, des communications g\u00e9n\u00e9rales et des formations obligatoires. Les collaborateurs doivent \u00eatre capables d\u2019appliquer la finalit\u00e9 sous-jacente d\u2019une politique \u00e0 des situations qui ne sont pas enti\u00e8rement d\u00e9crites dans une proc\u00e9dure. Les risques de criminalit\u00e9 financi\u00e8re apparaissent fr\u00e9quemment par des combinaisons de comportements, d\u2019entit\u00e9s, de transactions et de facteurs contextuels qui ne sont pas couverts par un sc\u00e9nario standard unique. Une mise en \u0153uvre efficace doit donc combiner le transfert de connaissances avec des \u00e9tudes de cas pratiques, des orientations accessibles, un soutien manag\u00e9rial, des contr\u00f4les de qualit\u00e9 et des conseils sp\u00e9cialis\u00e9s. La formation doit \u00eatre adapt\u00e9e au r\u00f4le, au pouvoir et \u00e0 l\u2019exposition au risque du collaborateur concern\u00e9. Un charg\u00e9 de relation a besoin de connaissances et de comp\u00e9tences d\u00e9cisionnelles diff\u00e9rentes de celles d\u2019un enqu\u00eateur, d\u2019un d\u00e9veloppeur de produits, d\u2019un analyste de donn\u00e9es, d\u2019un dirigeant ou d\u2019un membre d\u2019un comit\u00e9 des risques. Les responsables doivent non seulement comprendre les exigences applicables, mais \u00e9galement savoir appr\u00e9cier la qualit\u00e9 des d\u00e9cisions, contester un raisonnement insuffisant, demander des comptes aux collaborateurs et faire remonter les obstacles structurels \u00e0 une ex\u00e9cution efficace. Les nouvelles politiques et normes doivent \u00eatre \u00e9valu\u00e9es au regard de leur faisabilit\u00e9 op\u00e9rationnelle avant une mise en \u0153uvre \u00e0 grande \u00e9chelle. Cette \u00e9valuation doit tenir compte de la disponibilit\u00e9 et de la fiabilit\u00e9 des donn\u00e9es, de la fonctionnalit\u00e9 des syst\u00e8mes, des capacit\u00e9s en personnel, des d\u00e9pendances op\u00e9rationnelles, des d\u00e9lais attendus et des effets ind\u00e9sirables potentiels. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que la mise en \u0153uvre ne soit pas consid\u00e9r\u00e9e comme une \u00e9tape finale de communication, mais comme un processus coordonn\u00e9 de transformation dans lequel les politiques, les processus, les syst\u00e8mes, les donn\u00e9es, les responsabilit\u00e9s et les comportements sont adapt\u00e9s conjointement. Lorsque de nouvelles exigences sont ajout\u00e9es sans simplifier les processus existants ni fournir un soutien technologique appropri\u00e9, une fatigue du contr\u00f4le peut appara\u00eetre et l\u2019attention peut se d\u00e9placer de l\u2019\u00e9valuation substantielle du risque vers l\u2019accomplissement administratif. Une traduction efficace des politiques exige donc \u00e9galement la suppression des exigences obsol\u00e8tes, redondantes, incoh\u00e9rentes ou disproportionn\u00e9es.<\/p>\n

Le fonctionnement r\u00e9el des politiques doit, en dernier lieu, \u00eatre mesurable, r\u00e9examinable et susceptible de v\u00e9rification ind\u00e9pendante. Le pourcentage de collaborateurs ayant suivi une formation ou le nombre de proc\u00e9dures publi\u00e9es fournit peu d\u2019indications sur la qualit\u00e9 de l\u2019ex\u00e9cution. L\u2019information de gestion doit montrer si les collaborateurs appliquent correctement les normes, si des dossiers comparables sont \u00e9valu\u00e9s de mani\u00e8re coh\u00e9rente, si le nombre d\u2019exceptions augmente et si les erreurs identifi\u00e9es conduisent \u00e0 des am\u00e9liorations cibl\u00e9es et durables. Les contr\u00f4les de qualit\u00e9, les analyses de dossiers, les observations directes, l\u2019analyse de donn\u00e9es, les entretiens et les \u00e9valuations th\u00e9matiques peuvent conjointement r\u00e9v\u00e9ler les domaines dans lesquels les politiques demeurent insuffisamment claires ou dans lesquels la pression op\u00e9rationnelle fait obstacle \u00e0 leur bonne application. Les signaux provenant des r\u00e9clamations, des signalements internes, des enqu\u00eates, des contentieux, des \u00e9changes avec les autorit\u00e9s de contr\u00f4le et de l\u2019audit interne doivent \u00eatre utilis\u00e9s pour d\u00e9terminer si les exigences formelles correspondent \u00e0 la r\u00e9alit\u00e9 op\u00e9rationnelle. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige \u00e9galement un processus ma\u00eetris\u00e9 de modification des politiques. Lorsqu\u2019une politique est modifi\u00e9e, il doit \u00eatre clair quels processus, syst\u00e8mes, contrats, supports de formation, dispositifs de rapport, activit\u00e9s de contr\u00f4le et proc\u00e9dures d\u2019assurance doivent \u00e9galement \u00e9voluer. Les versions remplac\u00e9es doivent \u00eatre retir\u00e9es, les p\u00e9riodes transitoires doivent \u00eatre g\u00e9r\u00e9es et les dossiers en cours doivent \u00eatre trait\u00e9s selon des r\u00e8gles explicites. Une modification de politique formellement approuv\u00e9e et techniquement publi\u00e9e, mais non int\u00e9gr\u00e9e dans les op\u00e9rations, peut cr\u00e9er une exposition plus importante qu\u2019une norme stable dont les limites sont comprises et activement g\u00e9r\u00e9es. L\u2019objectif ultime n\u2019est donc pas une conformit\u00e9 documentaire, mais un environnement de contr\u00f4le dans lequel les collaborateurs comprennent les attentes, les syst\u00e8mes soutiennent la m\u00e9thode de travail pr\u00e9vue et l\u2019organisation peut d\u00e9montrer de mani\u00e8re convaincante que l\u2019orientation strat\u00e9gique retenue est effectivement appliqu\u00e9e dans les d\u00e9cisions r\u00e9elles.<\/p>\n

Hi\u00e9rarchisation strat\u00e9gique des priorit\u00e9s et investissements<\/h4>\n

La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige des d\u00e9cisions d\u00e9lib\u00e9r\u00e9es quant \u00e0 l\u2019affectation de ressources limit\u00e9es. Aucune organisation ne dispose d\u2019une capacit\u00e9 illimit\u00e9e en personnel, en technologie, en donn\u00e9es fiables, en expertise d\u2019enqu\u00eate ou en attention manag\u00e9riale. En l\u2019absence de priorit\u00e9s claires, les investissements peuvent \u00eatre principalement d\u00e9termin\u00e9s par des incidents r\u00e9cents, des constatations r\u00e9glementaires isol\u00e9es, des retards op\u00e9rationnels visibles ou l\u2019influence de certaines unit\u00e9s. Des ressources substantielles peuvent alors \u00eatre consacr\u00e9es \u00e0 des risques relativement limit\u00e9s, tandis que des vuln\u00e9rabilit\u00e9s structurelles dans des processus moins visibles demeurent insuffisamment trait\u00e9es. La hi\u00e9rarchisation strat\u00e9gique doit donc commencer par une \u00e9valuation int\u00e9gr\u00e9e de l\u2019exposition inh\u00e9rente, de la qualit\u00e9 des contr\u00f4les existants, du risque r\u00e9siduel et de l\u2019impact potentiel. Cette \u00e9valuation doit aller au-del\u00e0 des pertes financi\u00e8res imm\u00e9diates ou des sanctions r\u00e9glementaires. L\u2019exposition p\u00e9nale, les restrictions affectant les agr\u00e9ments ou autorisations, la responsabilit\u00e9 civile, les redressements fiscaux, l\u2019exclusion de certains march\u00e9s, les cons\u00e9quences en mati\u00e8re de protection des donn\u00e9es, les atteintes \u00e0 la r\u00e9putation, les perturbations op\u00e9rationnelles et la perte de confiance des parties prenantes peuvent produire collectivement un impact sensiblement sup\u00e9rieur \u00e0 la valeur financi\u00e8re directe d\u2019un incident. Les priorit\u00e9s doivent \u00e9galement tenir compte de la rapidit\u00e9 avec laquelle un risque peut se d\u00e9velopper, de la possibilit\u00e9 pratique d\u2019y rem\u00e9dier, du risque de concentration et de la d\u00e9pendance \u00e0 l\u2019\u00e9gard de syst\u00e8mes, fournisseurs ou personnes essentiels. Une insuffisance de contr\u00f4le apparemment limit\u00e9e peut \u00eatre strat\u00e9giquement urgente lorsqu\u2019elle affecte une part importante du portefeuille clients, affaiblit simultan\u00e9ment plusieurs contr\u00f4les ou serait particuli\u00e8rement difficile \u00e0 corriger apr\u00e8s la survenance d\u2019un incident. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re relie donc les d\u00e9cisions d\u2019investissement \u00e0 l\u2019exposition significative et aux objectifs strat\u00e9giques plut\u00f4t qu\u2019aux seuls sch\u00e9mas historiques de d\u00e9penses, fronti\u00e8res organisationnelles ou exigences minimales formelles.<\/p>\n

Un investissement cibl\u00e9 exige une \u00e9valuation \u00e9quilibr\u00e9e des personnes, des processus, des donn\u00e9es, des technologies et de la gouvernance. Les solutions technologiques peuvent produire des am\u00e9liorations importantes dans le filtrage des sanctions, la surveillance des transactions, l\u2019analyse des r\u00e9seaux, la gestion des dossiers, le soutien aux enqu\u00eates et l\u2019information de gestion, mais elles ne peuvent r\u00e9soudre une app\u00e9tence au risque impr\u00e9cise, une propri\u00e9t\u00e9 insuffisante ou une gouvernance inad\u00e9quate. Des ressources humaines suppl\u00e9mentaires ne peuvent compenser ind\u00e9finiment une inefficacit\u00e9 structurelle lorsque les syst\u00e8mes g\u00e9n\u00e8rent un volume excessif d\u2019alertes non pertinentes, que les processus comportent des contr\u00f4les redondants ou que les collaborateurs n\u2019ont pas acc\u00e8s \u00e0 des informations fiables. Chaque investissement doit donc \u00eatre \u00e9valu\u00e9 au regard du probl\u00e8me pr\u00e9cis qu\u2019il vise \u00e0 r\u00e9soudre, des conditions n\u00e9cessaires \u00e0 sa r\u00e9ussite et de son effet attendu sur le risque r\u00e9siduel. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige une analyse d\u2019investissement claire d\u00e9crivant les co\u00fbts, les b\u00e9n\u00e9fices, la r\u00e9duction des risques, la complexit\u00e9 de la mise en \u0153uvre, les d\u00e9pendances op\u00e9rationnelles et les r\u00e9sultats mesurables. Les investissements consacr\u00e9s \u00e0 la qualit\u00e9 des donn\u00e9es m\u00e9ritent une attention particuli\u00e8re. Des donn\u00e9es incompl\u00e8tes, incoh\u00e9rentes ou inaccessibles affaiblissent presque tous les \u00e9l\u00e9ments de la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re. Sans donn\u00e9es clients fiables, informations transactionnelles, donn\u00e9es de propri\u00e9t\u00e9 et liens efficaces entre syst\u00e8mes, m\u00eame les technologies analytiques les plus sophistiqu\u00e9es fonctionneront avec une pr\u00e9cision limit\u00e9e et une couverture incompl\u00e8te. Dans le m\u00eame temps, les grands programmes technologiques ne doivent pas absorber des ressources pendant une p\u00e9riode prolong\u00e9e sans produire de r\u00e9duction interm\u00e9diaire du risque. Une mise en \u0153uvre progressive, des livrables minimaux clairement d\u00e9finis et une r\u00e9\u00e9valuation p\u00e9riodique sont n\u00e9cessaires pour \u00e9viter que les programmes strat\u00e9giques ne se d\u00e9connectent des besoins op\u00e9rationnels actuels et de l\u2019\u00e9volution des conditions de risque.<\/p>\n

La hi\u00e9rarchisation des priorit\u00e9s doit \u00e9galement se refl\u00e9ter de mani\u00e8re visible dans la budg\u00e9tisation, la gouvernance des programmes et la gestion du portefeuille d\u2019investissements. Les ressources ne doivent pas \u00eatre r\u00e9parties uniquement par fonction, unit\u00e9 op\u00e9rationnelle ou entit\u00e9 juridique lorsque les risques concern\u00e9s sont transversaux et affectent simultan\u00e9ment plusieurs parties de l\u2019organisation. Un programme central de rem\u00e9diation peut, par exemple, d\u00e9pendre d\u2019une am\u00e9lioration locale des donn\u00e9es, de modifications apport\u00e9es aux processus produits, d\u2019une analyse juridique, d\u2019un d\u00e9veloppement des syst\u00e8mes, d\u2019un recrutement sp\u00e9cialis\u00e9 et de contr\u00f4les de qualit\u00e9 suppl\u00e9mentaires. En l\u2019absence d\u2019une orientation int\u00e9gr\u00e9e, chaque fonction peut optimiser sa contribution individuelle tandis que le r\u00e9sultat global demeure insuffisant. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige donc un portefeuille coh\u00e9rent d\u2019investissements dans lequel les initiatives sont class\u00e9es selon leur mat\u00e9rialit\u00e9, leur urgence, leurs d\u00e9pendances et leur effet attendu sur la r\u00e9duction des risques. Les d\u00e9cideurs doivent pouvoir identifier quels risques sont consciemment trait\u00e9s \u00e0 un stade ult\u00e9rieur, quels contr\u00f4les temporaires sont utilis\u00e9s et quelles cons\u00e9quences peuvent survenir si les ressources sont r\u00e9duites ou si les projets prennent du retard. Apr\u00e8s la mise en \u0153uvre, l\u2019organisation doit d\u00e9terminer si l\u2019investissement a produit le r\u00e9sultat attendu. Un nouveau syst\u00e8me de surveillance n\u2019est pas une r\u00e9ussite du seul fait de son d\u00e9ploiement technique, mais parce qu\u2019il permet une d\u00e9tection plus pr\u00e9cise des risques pertinents, am\u00e9liore la qualit\u00e9 de l\u2019\u00e9valuation et maintient la charge op\u00e9rationnelle inutile \u00e0 un niveau proportionn\u00e9. Un programme de formation n\u2019est pas efficace simplement parce que le taux de participation est \u00e9lev\u00e9, mais parce qu\u2019il am\u00e9liore de mani\u00e8re d\u00e9montrable les comportements, le discernement et la prise de d\u00e9cision. Les investissements strat\u00e9giques doivent donc \u00eatre trait\u00e9s comme des interventions de gouvernance sur les risques de criminalit\u00e9 financi\u00e8re et soumis \u00e0 la m\u00eame discipline en mati\u00e8re de propri\u00e9t\u00e9, d\u2019objectifs, de preuves, de r\u00e9examen et de responsabilit\u00e9 que les autres d\u00e9cisions significatives de l\u2019entreprise.<\/p>\n

Surveillance du conseil d\u2019administration et responsabilit\u00e9 de la direction<\/h4>\n

Le conseil d\u2019administration et les organes de surveillance assument la responsabilit\u00e9 ultime de l\u2019orientation strat\u00e9gique, de la conception et de l\u2019efficacit\u00e9 de la Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re. Cette responsabilit\u00e9 ne peut \u00eatre enti\u00e8rement d\u00e9l\u00e9gu\u00e9e \u00e0 la conformit\u00e9, \u00e0 la direction juridique, \u00e0 la gestion des risques, \u00e0 l\u2019audit interne ou \u00e0 des comit\u00e9s sp\u00e9cialis\u00e9s. La d\u00e9l\u00e9gation de l\u2019ex\u00e9cution ne supprime pas l\u2019obligation de gouvernance de comprendre les risques de criminalit\u00e9 financi\u00e8re auxquels l\u2019organisation est expos\u00e9e, les d\u00e9cisions strat\u00e9giques qui cr\u00e9ent ou accroissent cette exposition et la question de savoir si le niveau de ma\u00eetrise disponible est proportionn\u00e9 \u00e0 la nature et \u00e0 l\u2019ampleur du risque. Les administrateurs doivent \u00eatre capables d\u2019expliquer les principales cat\u00e9gories de risques, les produits vuln\u00e9rables, les segments de client\u00e8le significatifs, les expositions g\u00e9ographiques et les d\u00e9ficiences structurelles de contr\u00f4le qui affectent l\u2019organisation. Les organes de surveillance doivent \u00e9valuer de mani\u00e8re ind\u00e9pendante si l\u2019orientation retenue est cr\u00e9dible, si le management fournit des ressources suffisantes et organise une contestation effective, et si les ambitions commerciales produisent une extension de fait de l\u2019app\u00e9tence au risque approuv\u00e9e. Cette responsabilit\u00e9 exige davantage que la r\u00e9ception p\u00e9riodique de tableaux de bord, de r\u00e9sum\u00e9s d\u2019incidents ou de rapports de rem\u00e9diation. La qualit\u00e9 de la surveillance d\u00e9pend des questions pos\u00e9es, des informations exig\u00e9es, de la qualit\u00e9 de la contestation exerc\u00e9e et de la volont\u00e9 de restreindre ou de suspendre des activit\u00e9s lorsque les contr\u00f4les demeurent insuffisants. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que le conseil d\u2019administration et les organes de surveillance consid\u00e8rent la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re comme un enjeu strat\u00e9gique de l\u2019entreprise li\u00e9 \u00e0 la continuit\u00e9, \u00e0 la r\u00e9putation, \u00e0 la position juridique, \u00e0 la l\u00e9gitimit\u00e9 sociale, \u00e0 la confiance des parties prenantes et \u00e0 l\u2019acc\u00e8s aux march\u00e9s.<\/p>\n

Une surveillance efficace du conseil d\u2019administration exige des informations fiables, \u00e9quilibr\u00e9es et orient\u00e9es vers la d\u00e9cision. Les rapports ne doivent pas se limiter au nombre d\u2019alertes, de d\u00e9clarations r\u00e9glementaires, d\u2019enqu\u00eates ou d\u2019actions de rem\u00e9diation restant ouvertes. Ils doivent fournir des indications sur les tendances, les causes, les concentrations, les exceptions, les pr\u00e9occupations relatives \u00e0 la qualit\u00e9 des contr\u00f4les et l\u2019\u00e9volution du risque r\u00e9siduel. Une diminution du nombre d\u2019alertes peut indiquer une am\u00e9lioration de la segmentation et de la qualit\u00e9 de la d\u00e9tection, mais peut \u00e9galement r\u00e9v\u00e9ler une d\u00e9faillance du syst\u00e8me, des donn\u00e9es incompl\u00e8tes ou un p\u00e9rim\u00e8tre de surveillance excessivement restreint. Une augmentation du nombre de d\u00e9clarations peut refl\u00e9ter une d\u00e9t\u00e9rioration du profil de risque, mais peut tout autant d\u00e9montrer une meilleure reconnaissance des signaux et une escalade plus efficace. Les administrateurs doivent donc disposer d\u2019un contexte suffisant pour interpr\u00e9ter les chiffres et comprendre les incertitudes qui les entourent. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige \u00e9galement que les informations positives ne soient pas pr\u00e9sent\u00e9es s\u00e9par\u00e9ment des limites significatives et des questions non r\u00e9solues. Les rapports doivent pr\u00e9ciser clairement les domaines dans lesquels les donn\u00e9es demeurent incompl\u00e8tes, les mod\u00e8les ne sont pas encore valid\u00e9s, les mesures temporaires restent en vigueur ou les unit\u00e9s op\u00e9rationnelles continuent d\u2019op\u00e9rer en dehors des limites \u00e9tablies. La deuxi\u00e8me ligne doit disposer d\u2019un acc\u00e8s direct au conseil d\u2019administration et aux organes de surveillance lorsque des pr\u00e9occupations significatives ne sont pas trait\u00e9es de mani\u00e8re ad\u00e9quate par les voies ordinaires du management. La troisi\u00e8me ligne doit pouvoir rendre compte sans restriction inappropri\u00e9e des d\u00e9ficiences affectant tant la premi\u00e8re que la deuxi\u00e8me ligne. Les analyses juridiques et les conclusions d\u2019enqu\u00eate doivent \u00e9galement \u00eatre partag\u00e9es d\u2019une mani\u00e8re permettant au conseil d\u2019exercer ses responsabilit\u00e9s de gouvernance tout en pr\u00e9servant, lorsque cela est n\u00e9cessaire, la confidentialit\u00e9, le secret professionnel et la strat\u00e9gie contentieuse. Des informations de haute qualit\u00e9 ne garantissent pas une bonne d\u00e9cision, mais des informations insuffisantes, fragment\u00e9es ou excessivement favorables rendent presque impossible une surveillance v\u00e9ritablement significative.<\/p>\n

La responsabilit\u00e9 de la direction acquiert finalement une substance au moyen de d\u00e9cisions visibles, d\u2019un suivi soutenu et de cons\u00e9quences appropri\u00e9es. Lorsque des insuffisances significatives sont connues, les administrateurs doivent d\u00e9terminer si les activit\u00e9s concern\u00e9es peuvent se poursuivre, dans quelles conditions cette poursuite demeure d\u00e9fendable et dans quel d\u00e9lai la rem\u00e9diation doit \u00eatre achev\u00e9e. Les retards r\u00e9p\u00e9t\u00e9s, les limitations structurelles de capacit\u00e9, les d\u00e9faillances r\u00e9currentes des contr\u00f4les et la d\u00e9pendance prolong\u00e9e \u00e0 l\u2019\u00e9gard de mesures temporaires ne doivent pas \u00eatre trait\u00e9s comme de simples questions op\u00e9rationnelles lorsqu\u2019ils affectent de mani\u00e8re significative le profil de risque de l\u2019organisation. La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re exige que des responsabilit\u00e9s soient attribu\u00e9es \u00e0 des administrateurs et dirigeants identifi\u00e9s, que les objectifs pertinents soient int\u00e9gr\u00e9s dans les \u00e9valuations de performance et que la n\u00e9gligence, le contournement d\u00e9lib\u00e9r\u00e9 ou l\u2019inaction persistante entra\u00eenent des cons\u00e9quences proportionn\u00e9es. Dans le m\u00eame temps, une surveillance efficace doit emp\u00eacher que la responsabilit\u00e9 ne soit exclusivement imput\u00e9e aux collaborateurs ayant commis une erreur individuelle lorsque les causes sous-jacentes r\u00e9sident dans des syst\u00e8mes insuffisants, des incitations contradictoires, un manque de personnel ou une gouvernance d\u00e9ficiente. La responsabilit\u00e9 de la direction englobe \u00e0 la fois la responsabilit\u00e9 individuelle et la responsabilit\u00e9 des conditions dans lesquelles les d\u00e9cisions sont prises et les contr\u00f4les sont cens\u00e9s fonctionner. Les organes de surveillance doivent \u00e9galement \u00e9valuer p\u00e9riodiquement s\u2019ils disposent eux-m\u00eames de l\u2019expertise, de l\u2019information, de l\u2019ind\u00e9pendance et du temps n\u00e9cessaires pour remplir efficacement leur r\u00f4le. Lorsque les connaissances ou les capacit\u00e9s sont insuffisantes, une formation cibl\u00e9e, le recours \u00e0 une expertise externe ou une modification de la composition doivent \u00eatre envisag\u00e9s. Une organisation ne peut exprimer de mani\u00e8re cr\u00e9dible son ambition en mati\u00e8re d\u2019int\u00e9grit\u00e9 que lorsque le conseil d\u2019administration et les organes de surveillance d\u00e9montrent que les risques de criminalit\u00e9 financi\u00e8re ne sont pas examin\u00e9s uniquement apr\u00e8s la survenance d\u2019un incident, mais sont structurellement int\u00e9gr\u00e9s dans la strat\u00e9gie, les investissements, la r\u00e9mun\u00e9ration, les d\u00e9cisions relatives aux produits, l\u2019entr\u00e9e sur les march\u00e9s, les acquisitions et la prise de d\u00e9cision \u00e0 l\u2019\u00e9chelle de l\u2019entreprise. L\u2019orientation strat\u00e9gique n\u2019est ainsi pas seulement d\u00e9finie, mais continuellement surveill\u00e9e, test\u00e9e, adapt\u00e9e et assum\u00e9e.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\r\n\r\n
\r\n \r\n
\r\n \r\n \n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n Pr\u00e9vention\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n D\u00e9tection\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n Enqu\u00eate\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n R\u00e9ponse\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n Conseil\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n Contentieux\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \r\n
\r\n \r\n
\r\n \r\n \r\n \r\n \r\n \r\n \r\n\r\n \"\"\r\n <\/span>\r\n\r\n \r\n \r\n \r\n <\/a>\r\n \r\n \r\n <\/div>\r\n \r\n \r\n<\/figure>\r\n\r\n\n
\n\n
\n\n
\r\n

\r\n \r\n N\u00e9gociation\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article> \r\n \r\n <\/div>\r\n \r\n \r\n<\/div>\r\n\r\n \t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

La Gestion int\u00e9gr\u00e9e des risques de criminalit\u00e9 financi\u00e8re commence par une d\u00e9cision sans \u00e9quivoque de la direction de l\u2019organisation : la ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re ne doit pas \u00eatre consid\u00e9r\u00e9e comme un ensemble d\u2019obligations de conformit\u00e9 distinctes, de contr\u00f4les techniques isol\u00e9s ou de mesures d\u2019enqu\u00eate essentiellement r\u00e9actives, mais comme une composante indissociable de la strat\u00e9gie, de la gouvernance, de la prise de d\u00e9cision commerciale et de la responsabilit\u00e9 institutionnelle. Les risques de criminalit\u00e9 financi\u00e8re ne prennent pas exclusivement naissance dans les dispositifs de surveillance des transactions, de connaissance de la client\u00e8le, de filtrage des sanctions ou de d\u00e9claration<\/p>\n","protected":false},"author":2,"featured_media":35051,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[59],"tags":[],"class_list":["post-4347","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-engagement-envers-les-clients"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/4347","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/comments?post=4347"}],"version-history":[{"count":70,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/4347\/revisions"}],"predecessor-version":[{"id":35088,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/4347\/revisions\/35088"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media\/35051"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media?parent=4347"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/categories?post=4347"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/tags?post=4347"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}