Altares - Impact de la Covid-19 et de la digitalisation sur le processus de compliance

Frédéric Barth, président d’Altares-D&B France, a ouvert la quatrième matinée compliance, consacrée aux méthodes à déployer pour se prémunir face à l’intensification des actes frauduleux. Consultant, avocat, client, chaque sensibilité a pu exprimer sa compréhension du sujet.

Prologue

Michel Sapin, invité de référence de ce webinaire, nous expose comment les lois qui portent son nom sont arrivées.

Sapin I, en janvier 1993, avait pour objectif de lutter contre la corruption, dans notre pays, d’entreprises françaises par rapport à des acteurs publics, administratifs ou politiques. La cause principale en était le financement de la vie politique et des campagnes électorales en France. Ce texte a pratiquement éradiqué les soucis de l’époque. Il a soulevé une forte hostilité du monde économique qui a tenté de s’opposer à son adoption d’abord, puis à sa mise en œuvre.

Pour Sapin II, le contexte s’est inversé. Le monde économique s’est plaint à Bercy en disant : « ça ne peut plus durer comme ça. Si on continue ainsi, c’est la compétitivité des entreprises françaises qui va être remise en cause par la situation ».

Il est vrai que la France était alors mal positionnée dans le classement de l’OCDE. Signataire de la Convention de lutte contre la corruption, la France avait même introduit une nouvelle incrimination en 2002, la corruption d’agents étrangers à l’étranger. Or, pas une entreprise française, au moment où la loi paraissait au Journal officiel, n’avait été condamnée en France pour corruption. Pourtant, certaines l’étaient effectivement à l’étranger. L’OCDE et les organismes indépendants de notation estimaient donc que le texte n’était pas réellement mis en œuvre en France, et expliquaient ainsi le classement très bas de notre pays. Nos entreprises ressentaient cette mauvaise note comme un handicap leur portant préjudice dans la concurrence internationale.

Simultanément, les jugements à l’étranger (USA) avaient pour conséquence non seulement la disparition de sommes importantes, mais encore la mainmise de la justice américaine qui installait des dispositifs de monitoring dans des entreprises françaises avec l’accès à toutes les informations nécessaires et au-delà. Il y avait donc, parallèlement à la lutte contre la corruption, des risques d’intelligence économique. Pour le dire simplement, un contrôle américain sur Airbus intéresse Boeing, et aucune nation ne laisse une situation de cette nature sans réagir. Grâce à la convention judiciaire d’intérêt public (CGIP), Airbus est venu trouver les autorités françaises, britanniques et allemandes, pour exposer, son problème. À l’époque cette attitude était complètement inédite. Elle augurait une culture naissante pour les entreprises, celle du dialogue avec les autorités judiciaires. Airbus a coopéré avec les Européens et Américains. Pour Michel Sapin : « au terme de l’accord entre Airbus et les juridictions françaises, britanniques et américaines, notre justice a retrouvé une crédibilité aux yeux des Américains. Il existe une forme de diplomatie internationale de l’autorité judiciaire qui nous a redonné de la souveraineté, et donc de la protection pour nos entreprises. »

Michel Sapin

Criminalité et digitalisation

La pandémie est l’occasion d’actes criminels de détournement de fonds, de blanchiment d’argent, les délinquants associant le contexte et Internet. Ainsi, par exemple, une fondation, venue de nulle part, s’est créée sur Internet. Son but annoncé était d’aider les personnes souffrant de la Covid. Le site mis en place inventait un historique laissant croire que cette structure existait depuis longtemps. Des offres d’emplois réels ont été diffusées sur des sites spécialisés. Des candidats ont postulé. Ils ont reçu un contrat pour devenir des salariés de la fondation. Les employés ont réalisé un travail, rendu des rapports. En fin de mois, ils ont perçu une rémunération supérieure au salaire convenu. La fondation a expliqué qu’il s’agissait d’une erreur et a donc demandé à chaque salarié de lui retourner le surplus sur un compte différent de celui qui avait émis le règlement de la paie. Cette méthode longue et sophistiquée servait à blanchir de l’argent sous une fausse couverture. Déjà utilisée, la pandémie a fourni un terrain propice à sa réactivation. La fraude au président connait également une période faste. Les collaborateurs sont hors des bureaux. Ils ne procèdent pas aux vérifications habituelles…

Du fait de la crise, les compliance officers se sont trouvés face à un ensemble de difficultés : les échanges d’informations au sein des entreprises sont devenus plus rares, plus opaques ; les voyages ont été suspendus, rendant impossible les rencontres d’équipes sur site ; l’activité s’est réduite et adaptée ; les contrôles des autorités ont diminué. La pandémie a donc vu une multiplication d’actes criminels suivant des schémas assez classiques, mais avec des thèmes actualisés (masques, tests, attestations…). De plus, la distanciation instaurée fait que l’on connaît moins ses interlocuteurs, surtout à travers un écran. Les noms d’entreprises sont communiqués via un mail, un sms, etc. C’est pourquoi il arrive qu’un entrepreneur se rende compte qu’à une lettre près, il se trouve face à un imposteur. Sans due diligence, il a l’impression de travailler avec un fournisseur de référence alors qu’en réalité, c’est avec un de ses concurrents déloyal. La due diligence, avant d’entamer un partenariat avec de nouvelles relations, préserve contre ce type d’écueil.

Le digital, source de tracas ?

Le département de la justice américain a alerté à propos des messageries instantanées. De son point de vue, si, dans une entreprise, les collaborateurs les utilisent avec des interlocuteurs, ils perdent la trace de ce qui est échangé. Cet aspect ne doit pas être ignoré. Il faut que les sociétés l’intègrent dans leur programme de conformité et forment leur personnel. Cette recommandation, actuellement américaine, risque de se propager rapidement sur l’Europe et la France. De son côté, l’OFAC (Office of Foreign Assets Control) a rappelé au mois d’octobre que si, suite à une cyberattaque, une entreprise versait une rançon à une organisation terroriste, elle pourrait elle-même être poursuivie.

Ces exemples montrent que la digitalisation invite à des prises de conscience sur des responsabilités inattendues en fonction de ses actions. Toute nouvelle pratique mérite de se demander comment l’utiliser pour proscrire le risque d’incrimination.

Il convient de l’ajouter à la cartographie des risques, et de considérer les typologies inconnues de danger qu’elle introduit sous le coup de la loi déjà en place. La digitalisation et l’internationalisation limitent les entretiens présentiels. Pour compenser cette réduction des interactions physiques, mieux vaut multiplier les vérifications.

Le tout digital est sujet d’une part aux cyberattaques, et d’autre part aux contrôles de l’administration. De plus en plus, les outils informatisés accèdent à l’ensemble de la compliance. Or, attention, une entreprise ne veut pas systématiquement tout révéler aux autorités. Avec ce type d’instrument, ces dernières disposent de tout l’historique et de toutes les données. Même si la transparence est recherchée, est-il impératif de tout héberger, de tout montrer.

Cartographie des risques

La cartographie des risques vise à identifier, à évaluer et à hiérarchiser entre autres les risques de corruption dans le but de les gérer. Il n’existe évidemment pas de modèle universel approprié pour l’ensemble des entreprises assujetties. L’instance dirigeante, les représentants légaux, sont responsables de la prise de mesures visant à prévenir et à détecter la commission, en France ainsi qu’à l’étranger, de faits de corruption ou de trafic d’influence. Les infractions sont d’ordre pénal, le périmètre considéré concerne l’ensemble consolidé de l’entreprise. Il incombe à l’instance dirigeante de s’assurer du déploiement du dispositif au sens large, et en particulier de la cartographie des risques. Selon la doctrine de l’agence française anticorruption (AFA), cela se traduit par :

• l’expression claire d’une tolérance zéro ;

• la promotion des valeurs d’intégrité ;

• l’adoption du code de bonne conduite ;

• la mise en place d’un régime disciplinaire ;

• la déclinaison du principe de tolérance zéro dans les politiques et procédures ;

• la désignation d’un responsable du dispositif ;

• une communication interne et externe démontrant l’intégrité de l’entreprise.

Les dirigeants peuvent être considérés comme responsables, y compris devant la commission des sanctions de l’AFA. Une peine pécuniaire de 200 000 euros est prévue.

Les risques peuvent avoir des répercutions en termes de justice, de finance ou encore de réputation. L’évitement entraîne parfois des conséquences au coût bien plus élevé que celui de la mise en œuvre. La cartographie définit le cadre de référence de l’ensemble du dispositif. Elle précise la matrice des mesures préventives et de la détection. Elle apporte un code de bonne conduite et une orientation de la formation au processus d’évaluation des tiers. S’agissant de la détection, elle spécifie les mesures de contrôle interne permettant de vérifier que tout se passe bien, de même pour le contrôle comptable. La cartographie est formellement validée par l’organe de direction (exigence de l’AFA). L’organe collégial, lui, en supervise la pertinence et l’efficacité.

L’AFA avance une méthodologie spécifique en six étapes dans le cadre de ses recommandations de 2017. Notons trois phases importantes : la conception, le déploiement, et le dynamisme du dispositif post-déploiement.

L’étape de la conception pose les rôles et les responsabilités de chaque intervenant. Exercice collégial et transversal, il implique chaque collaborateur, depuis l’instance dirigeante jusqu’aux opérationnels, afin d’appréhender la totalité des risques réels menaçant l’organisation. La direction donne l’impulsion. Elle diffuse le message de lutte contre la corruption, la culture de la conformité. Elle valide les risques retenus. Le service de conformité assume le rôle de pilotage, en étroite collaboration avec les autres services disposant de l’expérience pratique. Les entretiens individuels et collectifs avec un spectre très large d’intervenants occupent une place fondamentale. Leur formalisation participe de la démarche intellectuelle et peut être annexée au corpus procédural. En-dehors de l’analyse fine des processus et des implantations géographiques, il est censé de se pencher sur d’autres facteurs de risque, par exemple, les secteurs d’activités, les opérations stratégiques (fusions acquisitions), la nature des tiers, l’historique des incidents, etc. Sur la base des informations collectées, l’entreprise établit un état des lieux précis. À l’issue de cette revue exhaustive, elle est en mesure de dresser une liste objective de scénarios de risques circonstanciés.

Après cela, s’impose l’évaluation des risques bruts. Il s’agit alors de jauger le niveau de vulnérabilité de la structure selon trois indicateurs : l’impact potentiel (réputation, finance, économie, justice), la fréquence (probabilité d’occurrence), et l’existence de facteurs aggravants. L’évaluation des risques nets estime le niveau de maîtrise des dangers grâce aux dispositifs mis en place par l’entreprise pour les contenir. Pour tel risque, ai-je un processus, des contrôles pertinents ? À l’issue de ces étapes, il est normalement possible de hiérarchiser ces risques.

La question du déploiement s’appuie sur un plan d’action inspiré par les écarts identifiés. Ce plan formalise la stratégie des risques. Il définit un calendrier à respecter et des modalités de suivi. Il fait l’objet d’une validation formelle par les instances dirigeantes qui en suivent l’avancement. Le corpus procédural dédié à la lutte contre la corruption est utilement complété d’un document explicatif sur la méthodologie appliquée et les concepts suivis (contexte économique, réglementaire, personnel impliqué, calcul, évaluation et hiérarchisation, scénarios définis…). L’entreprise est libre de retenir l’approche de son choix. Donc la cartographie des risques peut être organisée par entité, par processus, par zone géographique. Tout choix est autorisé tant qu’il est justifié et documenté.

Le processus de mise à jour est également formalisé. La cartographie des risques est un outil opérationnel passible d’audits internes et externes. Il est possible de se préparer en amont à un contrôle de l’AFA qui propose un formulaire préétabli de 15 questions à cette fin. Une entreprise qui n’arrive pas à y répondre présente probablement des défaillances. Dans le cas contraire c’est un indicateur favorable.

Le criblage

Le processus d’évaluation des tiers découle d’obligations réglementaires transposées en droit national et précisées par les autorités de tutelle. Les directives européennes de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) évoquent des mesures de vigilance, c’est-à-dire l’identification du tiers, la vérification de son identité, et également son évaluation. D’autres textes nationaux précisent que les sociétés assujetties doivent appliquer ces procédures aux clients, fournisseurs, intermédiaires. Les autorités de tutelle, AFA, l’ACPR (Autorité de contrôle prudentiel et de résolution) ou l’AMF (Autorité des marchés financiers) donnent sur ces textes des recommandations pour aider les entreprises à les appliquer. Dans son introduction, l’AFA indique que les évaluations consistent à apprécier le risque induit par la relation entretenue avec un interlocuteur. Le processus d’évaluation des tiers est unique, personnalisé pour chaque entité.

Que ce soit dans le cadre de l’anticorruption ou celui de la LCB-FT, le dispositif d’évaluation de l’intégrité des tiers est incontournable pour agir en prévention des risques. Ses procédures sont adaptées au niveau du risque contre lequel elles souhaitent prémunir (due diligence). Les évaluations permettent de décider soit d’entrer en relation, soit de poursuivre une relation, soit de mettre fin à une relation avec un contact.

Le processus implique une collecte d’informations, de documents. Cette dernière s’effectue avant une entrée en relation, mais aussi périodiquement, tout au long de sa durée. La quantité de données, leur nature, leur précision, se déterminent pour chaque groupe de tiers ayant un profil de risque similaire au sein de la cartographie. Cela signifie que les tiers jugés à bas impact font l’objet d’une évaluation simplifiée, tandis que ceux à lourd impact en subissent une approfondie.

La recherche d’informations sur les entreprises, qu’il s’agisse de données identitaires, commerciales, économiques ou financières, n’est pas quelque chose de nouveau. Elle sert depuis toujours à limiter les risques financiers, à se développer en créant de nouveaux business, voire à réaliser des acquisitions. Pour la majorité des industries, la récolte de data et leur exploitation est une démarche volontaire censée servir leur croissance et leur pérennité. Ces objectifs légitimes justifient un investissement. La compliance suit des principes proches, sauf qu’elle est imposée. Elle se conforme à des lois et règlements. Elle pose une méthode et des catégories qui supplantent les priorités antérieures des entreprises.

Le screening, ou criblage, revient à évaluer l’honorabilité d’un tiers, personne physique ou morale, s’assurer qu’elle n’est pas présente sur des listes de sanctions, ni politiquement exposées, ou encore qu’elle ne fait pas l’objet de presse négative. Le screening répond à des exigences réglementaires s’appliquant aux sociétés : directives européennes (LCB-FT), législation française (Sapin II)… Les autorités de tutelle (AMF, AFA…) émettent pour les assujettis des lignes directrices ou des recommandations, ainsi que des éléments d’évaluation des tiers.

Dans ce processus, le nom d’une personne physique ou morale est rapproché avec des listes (sanction, exposition politique, presse négative). Il est préférable d’éviter d’aboutir à des résultats parfaitement stricts pour ne pas passer éventuellement à côté d’une information qui remettrait en question le niveau de risque associé au tiers. Par exemple, une recherche de bénéficiaire effectif se mène souvent à l’échelle mondiale, impliquant éventuellement différents alphabets. Dans cette hypothèse, les erreurs de transcription, de traduction ou d’orthographe ne sont pas exclues, d’où la pertinence de rapprochements indulgents. De la même façon, les données collectées peuvent être partielles, conflictuelles entre elles ou contenir des coquilles. In fine, s’agit-il vraiment du contact recherché ? Pour une personne morale, il faut son identifiant, son numéro d’immatriculation local (SIRET) ou international (DUNS number), sa raison sociale, son pays d’enregistrement, sa date de création, etc. Au-delà, le chiffre d’affaires, le capital social, le secteur d’activité, le domaine de compétence, les implantations géographiques peuvent être des éléments pertinents. Les entrepreneurs individuels sont identifiés comme des personnes physiques, avec leur nom, prénom, date et lieu de naissance. Pour les entreprises, il faut vérifier la personne qui a le pouvoir de l’engager. Après l’identification, vient la phase de connaissance du tiers (know your supplier : KYS, know your customer : KYC). L’AFA, dans ses recommandations de 2017, précise que la nature des informations et des documents utiles est déterminées sur le fondement de la cartographie des risques, sur le modèle économique et ses enjeux. Il est préférable de collecter certains éléments supplémentaires : noms, prénoms des principaux actionnaires, bénéficiaires effectifs, dit toute, personne physique ou morale possédant directement ou indirectement plus de 25 % du capital ou des droits de vote, ou à défaut, toute personne qui exerce un contrôle sur les organes de direction et de gestion.

La loi Sapin de 2017?transpose l’obligation pour chaque État de mettre à disposition un registre des bénéficiaires effectifs (RBE). En 2019, l’ACPR précise – pour les établissements assujettis à l’LCB-FT – que celui-ci doit être vu comme un élément d’aide important, certes, mais les organismes ne sauraient se reposer sur un extrait de registre aux fins de vérification d’identité, surtout pour les risques élevés. En cas de risque faible, il peut être utilisé. Il convient de vérifier l’identité de la personne morale en recensant les noms, prénoms, dates et lieux de naissance des dirigeants sociaux et des représentants légaux, à travers des documents officiels (statuts, kbis). Des éléments d’analyse financière sur le comportement du tiers peuvent également apporter un complément pertinent à enregistrer.

Analyse

Ces données collectées sont évaluées et analysées. Différents points peuvent entrer en jeu dans le temps d’évaluation. L’entreprise soupèse la sensibilité du secteur d’activité du tiers. Pour cela, elle s’appuie notamment sur la cartographie des risques, mais aussi sur son expérience, sur des analyses externes d’entreprise, éventuellement publiées par des organisations non gouvernementales. Il faut par ailleurs tenir compte de la sensibilité du pays, des risques de corruption, de blanchiment de capitaux, ou de financement du terrorisme

(cf. liste OFAC, liste unique européenne, rapport de l’OCDE…). Le risque pays est déterminé en fonction du lieu d’implantation de l’entreprise et de ses emplacements d’activité. Par exemple, une société enregistrée dans un Etat non coopératif, ou bien dans un pays à législation non équivalente, peut constituer un facteur de risque aggravant. D’après les autorités, de tutelles, il faut par ailleurs identifier les relations publiques et privées qui portent quelque fois un danger de corruption. La présence de personnes politiquement exposées constitue aussi un point à examiner. Enfin, il faut rechercher si le tiers, ses dirigeants, ses principaux actionnaires et ses bénéficiaires effectifs ont fait l’objet d’informations défavorables, d’allégations, de poursuite ou de condamnations pour des faits délictueux. L’ensemble de ces éléments complètent le dossier de connaissance du contact et améliorent son évaluation. De cette analyse, résulte un niveau de risque déterminé en deux étapes : première étape, l’évaluation basée sur les critères objectifs quantifiables collectés, et seconde étape, l’intervention d’un expert de la conformité qui formule un avis. Le niveau de risque, modulé en fonction des investigations, se classe en faible, moyen ou élevé. C’est ce qu’on appelle le score de compliance. Les textes et recommandations précisent que le processus d’évaluation doit être reconduit de manière périodique en fonction de la catégorie et du niveau de risque du tiers. Il est important de fixer dès l’entrée en relation une date de renouvellement de l’évaluation, mais également de surveiller tout ce qui change significativement dans la situation du tiers (changement de bénéficiaire effectif, fusion, acquisition, etc.) et justifie une révision du score. Le dispositif d’évaluation lui-même est surveillé au moyen d’indicateurs qui mesurent les résultats des contrôles, des processus et des conformités. L’intégralité du dossier d’évaluation et l’historique des modifications sont conservés tout au long de la relation et pendant cinq ans après sa fin.

Optimisation du principe

La gestion des différents types de tiers (client, apporteur d’affaires, fournisseur, collaborateur…) donne un levier de lutte efficace contre la corruption. La connaissance des fournisseurs, à titre d’exemple, conditionne la fonction achat. La direction des achats, traditionnellement orientée vers la maîtrise des coûts avec des modèles d’organisation plus ou moins centralisés, externalisés et numérisés, se tourne de plus en plus vers la maîtrise des risques fournisseurs. Deux grandes tendances émergent dans le secteur financier. La première repose sur la coopération par la standardisation des outils caractérisant les fournisseurs, et la deuxième sur la mutualisation des traitements de connaissances occasionnant l’apparition de centres de service qui opèrent les diligences pour le compte de plusieurs établissements.

S’agissant de la standardisation des outils, certaines banques, aujourd’hui, convergent vers des techniques similaires : référentiels fournisseur, sources issues de bases de données externes, moyen de criblage pour les personnels politiquement exposées, etc. D’autant que ce secteur économique a un fort pourcentage de fournisseurs communs. Pour ces derniers, cela présente l’avantage de ne pas avoir à adapter leurs flux à une multitude de format. La standardisation des outils, des bases de données, du langage, de l’identification des tiers fluidifie les relations. Elle implique aussi qu’à contexte identique, s’applique une décision identique en France ou dans d’autres pays.

Dans les modèles mutualisés de traitement de KYS, les banques pourraient recourir à un opérateur qui s’acquitte des diligences et joue le rôle d’intermédiaire entre fournisseurs et départements achats. Dans ce modèle, le partage des coûts de traitement est significatif. Les échanges sont là aussi simplifiés car les entrées sont concentrées sur un point unique. La mutualisation des traitements et une communauté telle indueD proposée par Altares permettent d’éviter de refaire plusieurs fois le même travail concernant un tiers bien identifié. Cependant, la dépendance à l’opérateur peut apparaître comme une limite à ce fonctionnement.

Dans un système opérationnel d’entreprise, il faut à la fois déterminer les tiers à sonder, savoir qui enregistre leur profil et qui le maintient à jour. La mise en commun des données enrichies d’un score de compliance global constitue une base actualisée sur l’ensemble des sociétés. C’est un atout, car chacune suit sa propre évolution, peut défaillir, fusionner, déménager, ester en justice, ou vivre tout autre évènement sans en informer obligatoirement ses partenaires. Le principe d’un référentiel comme, par exemple, Business Add-On, est de fournir une masse d’informations à jour sur les entreprises et sur leur niveau de risque.

La compliance ne peut pas être efficace sans l’implication du management pour faire passer le message dans les services opérationnels. Le personnel manque souvent de formation alors qu’il est directement confronté aux sollicitations. Les départements compliance aussi ont des connaissances spécifiques à acquérir, comme la reconnaissance des faux documents. Une carte d’identité française ne coûte que 50 euros sur le marché criminel, et la fraude documentaire est un domaine majeur.

En somme, la culture compliance demande d’assurer une veille pour rester à jour des méthodes criminelles récentes, des schémas de corruption et des tendances observées dans les pays d’interfaces.

C2M