Le concept de « vigilance renforcée » en matière de conformité (Compliance)

Dans un rapport publié le 21 mai 2021 par la Financial Conduct Authority (FCA) britannique concernant les « lacunes courantes de contrôle identifiées dans les cadres de lutte contre le blanchiment d'argent », une inquiétude particulière a été soulevée concernant la vigilance à l'égard de la clientèle (Customer Due Diligence ou CDD), et plus spécifiquement la « vigilance renforcée » (Enhanced Due Diligence ou EDD).

Ce rapport soulignait entre autres que « l'approche de certaines entreprises en matière de vigilance est insuffisante et ne permet pas toujours d'atténuer les risques posés par certains clients ». Dans ce contexte, le rapport recommande aux entreprises de « s'assurer qu'elles appliquent des mesures d'EDD dans toutes les situations à haut risque et qu'elles peuvent clairement démontrer les diligences effectuées ».

Cet article a pour vocation d'analyser le principe de vigilance renforcée, tout en explicitant son utilisation et son application au quotidien, notamment lors de l'entrée en relation d'affaires (onboarding) et de la surveillance continue des clients.

Les exigences en matière de vigilance (CDD)

La réglementation maltaise relative à la prévention du blanchiment d'argent et du financement du terrorisme (S.L. 373.01) stipule que les mesures de vigilance à l'égard de la clientèle [1] doivent être appliquées à tous les clients lorsque :

1. Une relation d'affaires est établie ;
2. Une transaction occasionnelle est effectuée ; et/ou
3. L'assujetti a connaissance ou soupçonne l'existence de produits d'activités criminelles, de blanchiment d'argent ou de financement du terrorisme [2].

En outre, conformément à l'article 7(1), ces mesures de vigilance doivent comprendre :

• L'identification et la vérification de l'identité du client ;
• L'identification et la vérification du ou des bénéficiaires effectifs (UBO) ;
• L'obtention d'informations sur l'objet et la nature envisagée de la relation d'affaires, afin de permettre l'établissement d'un profil de risque commercial ; et
• La surveillance continue de la relation d'affaires.

Ces quatre mesures constituent le socle de tout programme de conformité solide en matière de lutte contre la criminalité financière. En pratique, les assujettis définissent généralement un niveau standard de mesures de vigilance pour les clients présentant un risque normal (en tenant compte des directives sectorielles), tandis que des mesures de vigilance simplifiée (SDD) peuvent s'appliquer aux clients présentant un risque moindre.

La vigilance renforcée (EDD)

Le portail spécialisé « ComplyAdvantage » définit l'EDD comme « le processus de collecte de données et d'informations pour vérifier l'identité des clients, nécessitant des informations supplémentaires pour atténuer le risque associé au client ». En termes simples : dans les situations où le risque de blanchiment de capitaux ou de financement du terrorisme (LCB-FT) est plus élevé, il convient d'obtenir davantage d'informations et de documents justificatifs. Cette exigence s'applique aussi bien aux transactions occasionnelles qu'aux relations d'affaires durables.

Le Groupe Wolfsberg propose également une définition pertinente : l'EDD fait référence aux « informations supplémentaires collectées dans le cadre de la vigilance à l'égard de la clientèle, ou aux mesures de précaution renforcées, telles que la surveillance continue des activités, appliquées selon une approche fondée sur les risques dans toute situation pouvant, par nature, présenter un risque LCB-FT plus élevé ». L'accent mis sur la surveillance continue est crucial du point de vue de Wolfsberg, d'autant que ses recommandations visent principalement les établissements de crédit et financiers.

L'une des distinctions les plus claires entre CDD et EDD provient de l'Autorité des marchés financiers de Nouvelle-Zélande (FMA). Dans ses lignes directrices, elle définit l'EDD comme comportant « deux exigences fondamentales allant au-delà de la vigilance standard » :

1. La mise en œuvre de mesures renforcées ou plus sophistiquées pour obtenir et vérifier les données du client et la structure des bénéficiaires effectifs, en adéquation avec le niveau de risque ;
2. L'obligation d'obtenir et de vérifier des informations sur l'origine du patrimoine (Source of Wealth) et l'origine des fonds (Source of Funds) du client, en prenant des mesures raisonnables selon le risque.

Ce double raisonnement est également repris par le Joint Money Laundering Steering Group (JMLSG) du Royaume-Uni. Selon leurs directives, l'obtention de données et documents complets permet (i) d'aider à la formulation de l'évaluation des risques et à la gestion efficace des risques LCB-FT, et (ii) de fournir une base solide pour la surveillance des activités et transactions du client, augmentant ainsi la probabilité de détecter toute utilisation abusive des produits et services.

Toutes ces interprétations, bien que variées, convergent vers les points suivants concernant l'EDD :

• La collecte de données et d'informations supplémentaires est impérative ;
• Cette collecte doit s'inscrire dans une démarche visant des mesures plus « prudentes et sophistiquées » ;
• Les résultats permettront aux praticiens de réaliser des évaluations de risques plus robustes.

Approche fondée sur les risques (RBA) et mesures d'EDD

Les lignes directrices du GAFI (Groupe d'action financière) pour une approche fondée sur les risques précisent que le principe général (qui constitue la pierre angulaire de la législation LCB-FT) est que, là où « des risques plus élevés existent, des mesures renforcées doivent être prises pour gérer et atténuer ces risques ». De plus, « l'étendue, le degré et la fréquence ou l'intensité des mesures préventives et des contrôles doivent être accrus dans les scénarios à haut risque ». Il est donc fondamental de savoir comment et quand appliquer l'EDD.

L'étendue des mesures d'EDD

Le JMLSG souligne qu'en pratique, dans le cadre d'une approche fondée sur les risques, il n'est pas pertinent pour un prestataire de services de connaître tous ses clients avec le même niveau de détail, indépendamment de l'objet, de l'utilisation ou de la valeur du produit ou service offert. Les demandes d'informations doivent être proportionnées, pertinentes et justifiables. Il ne s'agit pas de demander des informations pour le simple plaisir d'en avoir (surtout si le client ne peut pas les fournir), mais de s'assurer que la demande est adaptée au client avec lequel l'assujetti envisage une relation d'affaires ou une transaction.

Facteurs de risque déclenchant l'EDD

Après avoir défini l'EDD, il convient d'aborder les scénarios où elle est légalement requise. Il est intéressant de noter que la FMA néo-zélandaise prescrit que des mesures d'EDD doivent être envisagées chaque fois qu'il y a un « changement matériel » – c'est-à-dire un événement, une activité ou une situation qui pourrait modifier le niveau de risque LCB-FT (souvent détecté lors de la surveillance continue). Un tel changement pourrait survenir si le client demande de nouveaux produits plus risqués, si un trust est établi, ou si le volume des activités du client augmente au-delà de ce qui est raisonnablement attendu.

D'un point de vue purement local (maltais), l'article 11 stipule que l'EDD doit être appliquée « en complément » des mesures prévues à l'article 7 du PMLFTR :

• Pour les activités identifiées par la FIAU (Financial Intelligence Analysis Unit) comme présentant un risque élevé de blanchiment d'argent ou de financement du terrorisme (principalement selon l'évaluation nationale des risques) ;
• Chaque fois que l'assujetti détermine, via son évaluation des risques, que la transaction occasionnelle ou la relation d'affaires présente un risque élevé ;
• Dans le cadre de relations de correspondance avec des institutions de pays tiers (hors UE) ;
• Lors de relations avec des Personnes Politiquement Exposées (PPE) ;
• Lors de l'analyse de transactions complexes, importantes, suivant un schéma inhabituel ou sans objet économique ou licite apparent ; et
• Lors de relations avec des juridictions non coopératives.

Mesures d'EDD en pratique

Alors que l'obtention d'une brève description de l'activité peut suffire dans un scénario à faible risque (à condition que la nature et l'objet soient compris), des informations supplémentaires sont indispensables dans les cas à « haut risque ». Cela se traduit généralement par l'étayage des déclarations par des documents justificatifs et, le cas échéant, par des mesures additionnelles définies par la FIAU. Celles-ci peuvent inclure des recherches supplémentaires (par exemple, des revues de presse négatives) et/ou la demande d'informations sur l'origine des fonds et du patrimoine (pour s'assurer qu'ils ne proviennent pas d'activités criminelles).

Le « Financial Crime Guide » de la FCA conseille, dans le cadre de l'EDD, d'acquérir une « meilleure compréhension de la réputation du client/de l'entreprise et/ou de son rôle dans la vie publique et d'évaluer comment cela affecte le niveau de risque ». Il convient également de distinguer un client présentant un profil de risque élevé mais non impliqué dans le blanchiment, d'un client dont les transactions pourraient être liées à des activités illicites. Chaque situation doit être évaluée au cas par cas.

Les procédures de la FIAU sont très strictes concernant les PPE. Qu'une relation d'affaires présente un risque faible ou non, dès lors qu'un assujetti traite avec une PPE, un membre de sa famille ou une personne étroitement associée, des mesures d'EDD s'imposent. Selon le PMLFTR, celles-ci doivent inclure [3] : 1) l'approbation de la haute direction, 2) des mesures adéquates pour établir l'origine des fonds et du patrimoine, et 3) une surveillance renforcée de la relation.

Si, dans des situations à faible risque, il peut être acceptable de vérifier l'identité du client/bénéficiaire effectif en cours de relation (selon les politiques internes), cela est absolument proscrit dans les relations à haut risque : toutes les exigences d'identification et de vérification doivent être satisfaites avant l'engagement formel.

Dans les situations à risque accru, demander des informations sur le statut de résidence du client, son emploi, son salaire ainsi que d'autres sources de revenus/patrimoine (héritage, vente immobilière, cession d'actifs) est crucial pour décider de l'acceptation ou non du client. Une mesure d'EDD peut également consister à exiger que le premier paiement provienne d'un compte ouvert au nom du client auprès d'un établissement de crédit de l'UE/EEE.

La FCA britannique précise que lors de l'application de l'EDD, il est essentiel d'établir comment le client a acquis sa fortune pour s'assurer de sa légitimité. L'identification (et la preuve) du patrimoine est souvent le défi majeur pour les assujettis, surtout face à des structures complexes ou des bénéficiaires fortunés. Toutefois, comme le souligne le JMLSG, « la disponibilité et l'utilisation d'informations financières sont importantes pour réduire le coût supplémentaire de la collecte d'informations de vigilance... et peuvent aider à mieux comprendre le risque associé à la relation ».

Concernant la surveillance continue : si un contrôle tous les deux ou trois ans peut suffire pour les scénarios à faible risque, une surveillance renforcée (annuelle ou semestrielle) doit être envisagée pour les situations à haut risque. Une autre mesure d'EDD consiste à augmenter la fréquence des contrôles et à sélectionner des modèles de transactions en fonction de déclencheurs de risques spécifiques.

Enfin, bien que les scénarios à faible risque s'inscrivent généralement dans l'appétence au risque de l'assujetti, ce n'est pas le cas de toutes les situations à haut risque. Tout dépend de la tolérance au risque et de la politique d'acceptation des clients. Il peut être judicieux, pour gérer le risque de concentration, de procéder à un de-risking (fin de relation) ou d'instaurer des seuils pour limiter l'exposition globale aux clients à haut risque.

Juridictions non coopératives

Des mesures d'EDD s'imposent également lorsque l'assujetti traite avec des personnes physiques ou morales établies dans un pays non coopératif. Si les pays de l'UE/EEE imposent moins d'obligations, les liens avec des juridictions douteuses exigent des informations supplémentaires : origine des fonds, comptes de transit, nature exacte des liens avec le pays en question (est-ce seulement la nationalité ou y a-t-il des activités commerciales ?) et documentation accrue.

Implication de la haute direction

En pratique, il est recommandé de ne pas se fier uniquement aux politiques et procédures écrites, mais de discuter des techniques d'atténuation des risques avec des collègues ou la direction, chaque cas présentant ses propres menaces LCB-FT. L'approbation de la direction est cruciale, car le conseil d'administration est non seulement « propriétaire » du risque, mais doit aussi promouvoir une culture de conformité.

Les procédures de la FIAU (Partie I) exigent d'ailleurs que l'assujetti dispose d'une politique claire pour l'escalade vers la haute direction des décisions concernant l'acceptation ou la poursuite de relations d'affaires à haut risque.

Conclusion

Bien que tous les praticiens comprennent l'importance du concept d'EDD, son application et sa méthodologie restent largement à la discrétion de l'assujetti. Beaucoup dépendra du manuel LCB-FT (politiques et procédures), qui doit décrire en détail comment appliquer les mesures d'EDD au cas par cas. Cela ne doit cependant pas faire oublier que les responsables de la conformité doivent adopter une approche proactive et appliquer l'EDD dès qu'une situation présente un risque LCB-FT accru.

Pour cela, se fier uniquement aux procédures peut ne pas suffire ; l'instinct et les connaissances (acquises par la recherche et la formation continue) sont des atouts décisifs dans la lutte contre la criminalité financière.

Avertissement : L'article ci-dessus est basé sur des recherches indépendantes effectuées par Dr. Werner & Partners et ne saurait constituer un avis juridique. Si vous souhaitez rencontrer l'un de nos représentants pour obtenir de plus amples informations, nous vous invitons à prendre rendez-vous avec nous.

[1] La réalisation de la vigilance à l'égard de la clientèle est primordiale, notamment en ce qui concerne l'identification du client, la gestion des risques, l'acceptation du client et la surveillance – quatre éléments clés d'un programme KYC solide, tel que décrit dans le document du Comité de Bâle d'octobre 2001.

[2] Règlement 7(5)(ac) du PMLFTR

[3] Conformément à la règle 11(5)