Conformité LCB-FT : ne commettez plus ces erreurs !

Votre dispositif de conformité LCB-FT doit réellement prémunir votre entreprise des risques réels liés à votre activité et il doit être appliqué de façon cohérente au quotidien.

Une procédure trop générale, des vérifications mal adaptées au profil du client ou des pratiques différentes selon les collaborateurs peuvent ainsi créer des failles sans que vous en ayez forcément conscience. Certains défauts sont faciles à repérer dès lors que l’on sait où regarder.

On vous aide à identifier les signes qui doivent vous alerter et à mettre en place une correction concrète, applicable dans votre entreprise. Car une conformité LCB-FT efficace repose autant sur la pertinence du dispositif que sur sa mise en œuvre au quotidien.

1. Se contenter d’une procédure LCB-FT générique

Une procédure LCB-FT doit encadrer les pratiques de l’entreprise en tenant compte de ses propres risques. Elle n’a donc pas vocation à être un document standard, identique d’une structure à l’autre. Les lignes directrices de Tracfin rappellent d’ailleurs que les dispositifs d’identification et d’évaluation des risques doivent conduire à une politique adaptée à ces risques.

Aussi, une procédure peut être parfaitement rédigée sur le plan formel et pourtant peu utile dans la pratique si elle ne tient pas compte de la réalité de l’activité.

Vous le savez, les risques LCB-FT dépendent notamment des caractéristiques des clients, de leurs activités, des prestations proposées ou encore des zones géographiques concernées. Mais nous savons que nombre d’entreprises peinent, en pratique, à adapter leur procédure LCB-FT.

À vérifier dans votre propre procédure :

• les facteurs de risque pris en compte correspondent-ils à votre clientèle et à vos prestations ? ;
• les différents niveaux de risque sont-ils clairement définis ? ;
• les contrôles prévus sont-ils réellement réalisables par vos équipes ? ;
• la procédure décrit-elle ce qu’il faut faire lorsqu’une situation particulière se présente ?

Si vous avez répondu non à au moins une de ces questions, la suite devrait vous aider !

Notre conseil pratique : construisez votre procédure LCB-FT à partir de votre activité réelle plutôt que d’un modèle générique.

Pour cela, il faut identifier les situations susceptibles d’exposer votre entreprise au risque de blanchiment de capitaux et de financement du terrorisme, puis de déterminer comment elles doivent être prises en compte dans votre dispositif de vigilance.

L’objectif n’est pas de produire une procédure disproportionnée pour une petite structure. Le dispositif LCB-FT doit rester adapté à la taille, à l’activité et à l’organisation de votre entreprise.

Source : Guide LCB-FT Tracfin

2. Ne pas actualiser sa procédure LCB-FT

Une procédure LCB-FT adaptée à votre activité aujourd’hui ne le sera pas nécessairement dans deux ans.

Imaginez que votre procédure prévoie qu’un contrôle soit réalisé par une personne qui n’occupe plus cette fonction ou qu’elle repose sur un outil que vous n’utilisez plus. Le document existe toujours, mais il ne décrit plus votre fonctionnement.

Même problème si votre activité évolue, les changements peuvent modifier votre exposition au risque LCB-FT et nécessiter une adaptation du dispositif. La réglementation et les recommandations professionnelles sont également susceptibles d’évoluer.

Une procédure qui n’intègre pas ces changements peut progressivement devenir incomplète ou inadaptée. Nous savons que vous le savez ! Mais le mettre en pratique concrètement dans votre quotidien vous paraît complexe. On vous donne une solution simple.

Notre conseil pratique : prévoyez une vraie mise à jour de la procédure qui ne repose pas uniquement sur une échéance inscrite au calendrier (revue périodique). Pour cela, intégrez une mise à jour ponctuelle lorsqu’un changement important affecte l’activité, l’organisation ou le cadre réglementaire. Listez clairement les changements concernés.

Une procédure peut ainsi être revue régulièrement sans qu’une modification soit nécessaire à chaque fois. À l’inverse, attendre la prochaine revue annuelle pour tenir compte d’un changement important n’est pas forcément pertinent.

Voici les questions à vous poser lors de chaque revue :

• Notre clientèle ou nos prestations ont-elles évolué ?
• Notre organisation interne ou la répartition des responsabilités ont-elles changé ?
• Nos outils et nos méthodes de contrôle sont-ils toujours ceux décrits dans la procédure ?
• De nouvelles obligations ou recommandations doivent-elles être prises en compte ?
• Les difficultés rencontrées dans les dossiers ont-elles révélé une faiblesse de notre procédure ?
• Les collaborateurs appliquent-ils toujours la procédure de la manière prévue ?

3. Collecter les justificatifs sans vérifier les informations

C’est une erreur fréquente lorsque la conformité LCB-FT devient une succession de cases à cocher :

• La pièce d’identité est présente ? Oui.
• Le Kbis ou document équivalent a été récupéré ? Oui.
• Le bénéficiaire effectif est renseigné ? Oui.
• Le dossier est conforme ? Pas nécessairement.

Or, vous le savez, la connaissance du client suppose aussi de vérifier et de comprendre les informations recueillies. Cela implique qu’il faut pouvoir repérer une incohérence entre les documents, la situation déclarée par le client et les informations dont vous disposez pour approfondir les vérifications lorsque la situation le justifie.

Notre conseil pratique : regardez les informations dans leur ensemble plutôt que document par document avant de considérer le dossier comme complet, notamment :

• l’identité : les informations d’identification correspondent-elles aux justificatifs fournis ? ;
• l’entreprise : sa forme juridique, son activité et ses dirigeants correspondent-ils aux informations recueillies ? ;
• le bénéficiaire effectif : est-il clairement identifié et sa situation est-elle cohérente avec la structure de détention connue ? ;
• l’activité : les informations fournies sont-elles cohérentes avec la relation d’affaires et les prestations demandées ? ;
• les opérations : leur nature est-elle cohérente avec ce que vous savez du client et de son activité ?

Pensez à croiser les informations recueillies avec les sources ouvertes et généralement gratuites pour vérifier leur véracité (c’est devenu si facile et rapide de créer de faux justificatifs…) :

• registre national des entreprises ;
• liste GAFI ;
• liste consolidée européenne ;
• registre national des mesures de gel des avoirs ;
• Registre des Bénéficiaires Effectifs (RBE) ;
• Répertoire National des Élus (RNE) ;
• BODACC ;
• etc.

4. Ne pas adapter les diligences au niveau de risque

Identifier et évaluer le niveau de risque d’un client n’a d’intérêt que si cette évaluation a des conséquences sur les mesures de vigilance mises en œuvre. Certaines entreprises ont bien mis en place une classification des risques, mais celle-ci reste sans effet sur le traitement des dossiers. Les mêmes vérifications sont réalisées dans tous les cas.

Or, une situation présentant plusieurs facteurs de risque peut nécessiter des vérifications complémentaires, contrairement à un client classé en risque faible. De plus, il faut être en mesure d’expliquer pourquoi vous renforcez ou non la vigilance et quelles diligences supplémentaires vous mettez en œuvre.

Il ne s’agit toutefois pas d’appliquer mécaniquement une liste de contrôles supplémentaires dès qu’un facteur de risque apparaît. L’appréciation doit rester liée au niveau de risque global et aux circonstances du dossier.

Notre conseil pratique : faites correspondre risque et niveau de vigilance.

Pour vérifier que votre classification des risques est réellement opérationnelle, prenez plusieurs dossiers présentant des niveaux de risque différents et comparez les diligences réalisées.

Vous devez pouvoir répondre à trois questions :

• Pourquoi ce client présente-t-il ce niveau de risque ?
• Quelles conséquences ce niveau de risque a-t-il sur les contrôles réalisés ?
• Où les diligences supplémentaires et leurs résultats sont-ils tracés ?

L’objectif est donc de construire une véritable correspondance entre niveau de risque, niveau de vigilance et diligences réalisées.

Source : extrait du mémo : Mise en œuvre du dispositif LCB-FT par les professionnels supervisés par la douane.

5. Ne jamais actualiser les dossiers clients

Une relation d’affaires ne reste pas figée pendant plusieurs années. La situation d’un client peut évoluer, comme son activité, sa structure juridique ou son environnement. Pourtant, dans la pratique, il n’est pas rare que les informations recueillies lors de l’entrée en relation restent inchangées dans le dossier pendant toute la durée de la relation.

Or, la connaissance du client (KYC) doit être actualisée pendant toute la relation d’affaires afin que le niveau de risque reste adapté. Il faut donc savoir repérer les événements qui doivent conduire à vérifier ou compléter les informations disponibles.

Plusieurs situations peuvent ainsi justifier une actualisation :

• changement de dirigeant ou de représentant ;
• modification de l’activité ou de la nature de la relation d’affaires ;
• évolution de la structure du capital ou du bénéficiaire effectif ;
• changement important concernant les personnes intervenant dans la relation ;
• évolution significative des opérations ou du fonctionnement du client ;
• apparition d’une information nouvelle susceptible de modifier l’appréciation du risque.

 

Notre conseil pratique : définissez des déclencheurs de mise à jour des dossiers et réévaluer le risque si nécessaire.

À l’instar de la mise à jour de la procédure, une revue périodique ne doit pas être le seul moyen de détecter les changements. Un client peut évoluer de manière significative entre deux revues.

Pour chaque événement déclencheur défini, précisez également qui doit agir et où l’information doit être enregistrée pour assurer la traçabilité.

Prenez quelques dossiers d’anciens clients et comparez les informations qu’ils contiennent avec celles que votre entreprise connaît aujourd’hui. Si plusieurs informations importantes sont obsolètes, le problème vient peut-être moins des dossiers eux-mêmes que de l’absence de processus d’actualisation.

6. Ne pas pouvoir démontrer les diligences réalisées

Une entreprise peut avoir réalisé les bonnes vérifications sans être capable de le démontrer quelques mois plus tard. Or, en matière de LCB-FT, il ne suffit pas d’avoir effectué les contrôles : il faut pouvoir retrouver les informations recueillies, les analyses réalisées et les décisions prises.

Le cas échéant, en cas de contrôle de conformité, l’instance de surveillance partira du principe que la vigilance n’a pas été réalisée et sanctionnera l’entreprise. Tracfin rappelle que le professionnel doit être en mesure de justifier les diligences effectuées selon une approche par les risques et que les pièces réunies au titre de la vigilance doivent être conservées pendant cinq ans.

Un dossier peut être complet et pourtant être non conforme. Le problème apparaît notamment lorsqu’une décision ou une vérification n’est pas accompagnée d’une trace permettant de comprendre ce qui a été contrôlé, à quelle date et avec quel résultat.

Notre conseil pratique : conservez tous les éléments nécessaires pour comprendre les diligences réalisées et les décisions prises pour CHAQUE décision et dossier.

La traçabilité ne signifie pas nécessairement rédiger un compte rendu détaillé pour chaque opération. Pour chaque situation nécessitant une vérification particulière, prévoyez de pouvoir retrouver :

• la date de la vérification et de la décision ;
• l’élément à l’origine du contrôle : nouvelle information, incohérence, niveau de risque, opération atypique, etc. ;
• les vérifications réalisées et les informations obtenues ;
• la conclusion tirée de ces vérifications ;
• la décision prise, notamment lorsqu’elle entraîne une adaptation des mesures de vigilance ;
• la personne ayant effectué ou validé la démarche lorsque cela est pertinent.

Le format importe moins que la possibilité de retrouver rapidement l’information et de comprendre le raisonnement suivi.

7. Négliger le suivi des alertes et des contrôles

Une alerte n’est utile que si elle déclenche une action adaptée. Or, dans certaines entreprises, les anomalies sont signalées au fil de l’eau sans qu’un véritable processus permette de savoir qui doit les examiner, dans quel délai et comment leur traitement doit être documenté.

Il ne s’agit pas pour autant de considérer chaque anomalie comme un soupçon de blanchiment ou de financement du terrorisme. Une alerte constitue d’abord un élément qui doit être examiné au regard des informations connues sur le client, de son activité et de son niveau de risque.

Si l’analyse fait naître un soupçon, les obligations correspondantes doivent alors être mises en œuvre. Tracfin rappelle d’ailleurs que la détection des anomalies et l’analyse des faits conduisant au soupçon font partie des étapes du dispositif LCB-FT.

Notre conseil pratique : définissez un circuit de traitement simple pour éviter qu’une alerte se perde dans les échanges ou reste simplement annotée dans un dossier.

Alerte identifiée → analyse de la situation → vérifications complémentaires si nécessaire → décision → action éventuelle → traçabilité.

Pour cela, votre entreprise doit pouvoir répondre à quelques questions :

• Qui reçoit et analyse les alertes ?
• Dans quel délai doivent-elles être traitées ?
• Dans quels cas une validation ou une remontée au responsable est-elle nécessaire ?
• Où le résultat de l’analyse est-il conservé ?
• Comment vérifier qu’une action décidée a bien été réalisée ?

Conseil bonus : si vous utilisez un outil KYC automatisé et que vous recevez un grand nombre de faux positif, plutôt que d’ignorer les alertes au risque d’en louper une vraie, traitez le problème à la base, notamment le paramétrage de l’outil.

Faites le point sur votre dispositif LCB-FT : 12 questions pour vous auto-évaluer

Après avoir passé en revue ces erreurs fréquentes, prenez le temps de regarder votre propre dispositif. L’objectif n’est pas de vérifier uniquement si vos documents existent, mais de voir s’ils fonctionnent réellement dans votre organisation.

Pour vous aider, nous vous avons fait une fiche d’autodiagnostic.

Question à se poser	Si la réponse est non	Action à engager
1- Votre procédure LCB-FT tient-elle compte de votre activité, de votre clientèle et des risques auxquels votre structure est réellement exposée ?	Votre procédure est peut-être trop générique et ne reflète pas vos risques réels.	Reprenez les caractéristiques de votre clientèle, vos prestations, vos opérations, les facteurs géographiques et votre organisation pour adapter la procédure à votre activité.
2- Votre procédure LCB-FT est-elle régulièrement réexaminée et mise à jour lorsqu’un changement important intervient ?	Elle peut ne plus correspondre à votre activité, à votre organisation ou aux pratiques réellement appliquées.	Prévoyez une revue régulière et une mise à jour lorsqu’un changement important intervient.
3- Les responsabilités de chacun en matière de LCB-FT sont-elles clairement définies ?	Certaines vérifications ou décisions peuvent être oubliées, en double ou traitées différemment selon les personnes.	Identifiez qui réalise les contrôles, qui analyse les situations particulières, qui valide les décisions et qui assure leur suivi.
4- Les informations et justificatifs recueillis vous permettent-ils réellement de connaître vos clients et leurs bénéficiaires effectifs ?	Vous pouvez disposer d’un dossier rempli sans avoir une connaissance suffisante de la situation du client.	Vérifiez que les informations permettent de comprendre l’identité du client, son activité, sa structure et, lorsque cela est nécessaire, son bénéficiaire effectif.
5- Vérifiez-vous la cohérence des informations recueillies et pas uniquement la présence des justificatifs ?	Vous risquez de conserver des informations contradictoires sans chercher à comprendre leur origine.	Comparez les informations et approfondissez les vérifications en cas d’incohérence ou situation inhabituelle.
6- Avez-vous défini les situations qui doivent conduire à actualiser un dossier client ?	Vos dossiers peuvent progressivement devenir obsolètes sans que personne ne déclenche leur mise à jour.	Identifiez les événements déclencheurs susceptibles de modifier le niveau de risque (nouveau gérant, nouvelle activité, etc.).
7- Votre niveau de risque entraîne-t-il concrètement un niveau de vigilance adapté ?	Votre classification des risques reste peut-être purement administrative.	Définissez les conséquences concrètes de chaque niveau de risque et prévoyez les diligences complémentaires si nécessaire.
8- Pouvez-vous démontrer les principales diligences réalisées sur un dossier ?	Vous avez peut-être effectué les contrôles sans conserver suffisamment d’éléments pour pouvoir les reconstituer.	Conservez une trace exploitable des vérifications réalisées, des informations obtenues, des décisions prises et, lorsque c’est pertinent, de leur validation.
9- Deux collaborateurs traiteraient-ils de manière comparable une même situation ?	Les pratiques reposent peut-être trop sur les habitudes ou l’expérience de chacun.	Transformez la procédure en mode opératoire : précisez les étapes, les responsabilités, les cas particuliers et les modalités de traçabilité.
10- Vos collaborateurs savent-ils comment réagir face à une information incohérente ou une situation inhabituelle ?	Une alerte peut être ignorée, mal interprétée ou traitée différemment selon la personne qui la détecte.	Définissez les situations nécessitant une analyse complémentaire, une remontée au responsable ou une adaptation des diligences et le circuit à suivre.
11- Chaque alerte ou anomalie identifiée fait-elle l’objet d’un suivi jusqu’à sa résolution ou à la décision prise ?	Certaines alertes peuvent rester sans suite ou sans preuve de leur traitement.	Mettez en place un circuit simple : alerte → analyse → vérifications éventuelles → décision → action → traçabilité.
12- Lorsque vous identifiez une faiblesse, cherchez-vous sa cause plutôt que de corriger uniquement le dossier concerné ?	La même erreur risque de se reproduire sur d’autres dossiers.	Recherchez l’origine du problème et corrigez si nécessaire la procédure, le processus, les responsabilités ou les outils, puis vérifiez que la correction fonctionne.

Conseil pratique : ne vous contentez pas de corriger les dossiers dans lesquels une erreur a été constatée. Si plusieurs dossiers présentent la même faiblesse, le problème se trouve probablement en amont. Il faut en identifier la cause pour corriger la procédure et s’assurer que le problème ne se reproduise plus. C’est ce passage de la correction ponctuelle à l’amélioration du dispositif qui permet d’éviter que la même erreur réapparaisse quelques mois plus tard.

 

 

Le véritable enjeu de la conformité LCB-FT est de construire un dispositif qui fonctionne dans la pratique, qui évolue avec l’activité et dont les diligences peuvent être démontrées. Pour y parvenir, un outil KYC peut faciliter la centralisation des dossiers, le suivi des contrôles, la gestion des tâches et la traçabilité. C’est notamment l’objectif de Legal2digital, qui peut accompagner les experts-comptables dans la structuration et le suivi de leur dispositif de conformité.