L'AFM identifie cinq défaillances en matière de diligence raisonnable PEP
L'Autorité néerlandaise des marchés financiers (AFM) a publié les résultats d'un examen thématique sur la manière dont les entreprises financières traitent la diligence raisonnable à l'égard de la clientèle pour les personnes politiquement exposées (PPE). La conclusion principale est sans équivoque : les entreprises appliquent des procédures standardisées là où la loi exige une évaluation individuelle des risques, et plusieurs d'entre elles le font avec des listes de contrôle obsolètes et un personnel insuffisamment formé. Pour les prestataires de services sur crypto-actifs et les cabinets comptables qui les servent, les constatations de l'AFM sont un signal direct que les cadres PEP feront l'objet d'un examen minutieux.
Pourquoi l'AFM a examiné la gestion des PPE maintenant
L'examen a été déclenché par des constatations de contrôle antérieures apparues lors du cycle de questionnaires périodiques de l'AFM. Le champ d'application couvrait les entreprises d'investissement, les fonds d'investissement et les prestataires de services financiers, évalués par rapport à leurs obligations en matière de législation anti-blanchiment, de lutte contre le financement du terrorisme et de sanctions. Les PPE occupent une position spécifique dans ce cadre : parce qu'elles occupent ou ont occupé des fonctions publiques importantes, elles sont considérées comme plus vulnérables à la corruption et aux pots-de-vin, ce qui en fait des clients à risque plus élevé par défaut réglementaire.
Le contexte AML plus large
L'examen de l'AFM s'inscrit dans un effort européen plus large visant à renforcer les contrôles AML dans tous les secteurs réglementés, y compris les prestataires de services sur crypto-actifs opérant désormais sous MiCA. Les entreprises qui ont récemment obtenu une autorisation CASP, ou qui mettent en place une infrastructure de conformité pour répondre aux obligations MiCA, devraient considérer cet examen comme une référence vivante de ce que les régulateurs attendent des processus PEP en pratique.
Les cinq défaillances identifiées par l'AFM
L'examen a produit cinq constatations distinctes, chacune pointant un écart entre la politique écrite et la pratique réelle. Prises ensemble, elles décrivent une culture de conformité qui traite le filtrage PEP comme un exercice de coche de cases plutôt que comme un processus calibré selon le risque.
1. Diligence raisonnable renforcée générique au lieu d'une évaluation individuelle des risques
Lorsque les entreprises identifiaient une PPE et appliquaient une diligence raisonnable renforcée, l'AFM a constaté qu'elles n'adaptaient pas toujours leurs mesures au profil de risque spécifique de cet individu. Toutes les PPE ne présentent pas la même exposition : un conseiller municipal retraité présente un tableau de risque différent de celui d'un ministre des finances en exercice dans une juridiction à forte corruption. L'AFM est explicite sur le fait que les entreprises doivent évaluer chaque PPE en fonction de sa propre situation et appliquer des mesures proportionnées en conséquence.
2. Nationalité utilisée comme critère de risque autonome
Certaines entreprises ont été trouvées utilisant la nationalité d'un client comme facteur indépendant dans l'évaluation des risques. L'AFM signale que cela est problématique à deux niveaux. Premièrement, c'est analytiquement faible : la nationalité seule en dit peu sur l'exposition réelle à la corruption d'un individu. Deuxièmement, et plus grave, cela crée un risque matériel de discrimination injustifiée. La nationalité peut éclairer un tableau de risque plus large mais ne peut pas porter le poids de l'évaluation à elle seule.
3. Définition et application incohérentes du champ d'application des PPE
La catégorie PPE couvre non seulement la personne occupant une fonction publique importante, mais aussi les membres de sa famille immédiate et les associés d'affaires proches. L'AFM a constaté que cette définition n'était pas appliquée de manière cohérente au sein des entreprises, certaines équipes utilisant une interprétation plus restrictive que celle requise par la loi. Une compréhension interne incohérente se traduit directement par des manquements au filtrage et des dossiers de diligence raisonnable incomplets.
4. Listes de filtrage obsolètes ou incorrectes
Même là où des processus de filtrage existaient, certaines entreprises s'appuyaient sur des listes qui n'étaient plus à jour. Le statut PPE change : les élections, nominations et démissions modifient le profil d'exposition d'un individu. Une personne qui était PPE lors de l'entrée en relation peut ne plus l'être ; un client qui n'était pas PPE peut le devenir. L'AFM note que les changements de statut PPE pendant une relation client en cours doivent être capturés, et les entreprises ne peuvent pas supposer que leurs outils gèrent cela automatiquement.
5. Politique existe, mais exécution et documentation insuffisantes
Peut-être la constatation la plus significative sur le plan opérationnel : de nombreuses entreprises avaient des politiques écrites adéquates mais ne pouvaient pas démontrer que ces politiques étaient suivies dans la pratique, et leur documentation des étapes individuelles de diligence raisonnable était insuffisante. Dans un contexte de contrôle ou d'audit, un contrôle non documenté est effectivement inexistant. L'AFM souligne que chaque étape prise lors de la diligence raisonnable à l'égard de la clientèle doit être correctement enregistrée.
Outils, fournisseurs tiers et responsabilité
Les entreprises s'appuient de plus en plus sur des outils de filtrage tiers pour identifier les PPE, et l'AFM ne s'y oppose pas en principe. Ce que l'examen clarifie, c'est que l'externalisation de la tâche de filtrage n'externalise pas l'obligation réglementaire. Les entreprises restent pleinement responsables de vérifier que l'outil qu'elles utilisent effectue les contrôles corrects, que ses listes sont à jour et que toute lacune dans sa couverture est identifiée et compensée par des processus manuels.
Implications pour la comptabilité des actifs numériques et l'infrastructure de conformité
Pour les entreprises utilisant un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques pour gérer les portefeuilles clients, c'est un point opérationnel pertinent. Les outils de filtrage intégrés aux workflows d'onboarding client ou de surveillance des transactions comportent la même réserve : l'entreprise, et non le fournisseur, est propriétaire du résultat de conformité. Examiner les SLA des fournisseurs pour la fréquence de mise à jour des listes et les garanties d'exactitude est une étape pratique immédiate. Cela est directement lié aux questions de diligence raisonnable que les entreprises devraient se poser concernant tout processus de conformité dépendant des données, comme exploré dans notre article sur comment la qualité des données d'analyse blockchain affecte la précision du filtrage AML.
Formation du personnel : adaptée, pas générique
L'AFM a constaté que certaines entreprises s'appuyaient sur des qualifications financières générales pour satisfaire à l'exigence de formation du personnel effectuant la diligence raisonnable PEP. L'examen précise que cela est insuffisant. La formation doit être adaptée aux fonctions spécifiques que le personnel exerce et ancrée dans des scénarios réels. Un diplôme sectoriel général ne qualifie pas, à lui seul, un analyste pour délimiter correctement une relation PPE, évaluer le risque des parties associées ou reconnaître quand le statut politique d'un client a changé.
Les responsables de la conformité devraient auditer leurs programmes de formation actuels par rapport aux tâches spécifiques que leurs équipes effectuent dans le filtrage et l'examen des PPE. Là où des lacunes existent, un perfectionnement ciblé, plutôt que le recours à des diplômes généraux, est la réponse attendue.
Mesures pratiques pour les responsables de la conformité et les cabinets comptables
Les constatations de l'AFM se traduisent par une liste de contrôle claire pour les entreprises qui examinent leurs propres cadres PEP. Aucune de ces étapes ne nécessite de changement réglementaire : elles reflètent des obligations déjà en vigueur.
Priorités d'examen immédiates
Premièrement, auditez comment la diligence raisonnable renforcée est réellement appliquée au niveau du dossier, pas seulement comment la politique la décrit. Prélevez un échantillon de dossiers PEP récents et testez si les mesures appliquées étaient calibrées pour l'individu. Deuxièmement, supprimez la nationalité comme facteur de risque autonome si elle fonctionne actuellement comme tel. Elle peut rester un point de données contextuel, mais l'évaluation des risques doit être motivée par le profil de l'individu. Troisièmement, vérifiez que la définition PEP appliquée par toutes les équipes inclut les membres de la famille et les associés d'affaires proches, pas seulement le principal. Quatrièmement, contactez votre fournisseur d'outils de filtrage et obtenez une confirmation écrite de la fréquence de mise à jour des listes et de la manière dont les changements de statut en cours de relation sont signalés. Cinquièmement, documentez tout. Si une étape n'est pas enregistrée, elle n'a pas eu lieu du point de vue de la supervision.
Pour les entreprises qui ont récemment interagi avec les exigences de l'AFM dans d'autres domaines, comme celles qui travaillent sur les exigences d'interface en ligne de l'AFM pour les prestataires de services crypto, la diligence raisonnable PEP devrait être traitée comme faisant partie du même cycle d'audit de conformité, et non comme un chantier séparé.
Les entreprises gérant des workflows PEP dans plusieurs juridictions devraient également noter que l'obligation sous-jacente découle des directives européennes anti-blanchiment, ce qui signifie qu'une attention de surveillance équivalente est probable dans d'autres États membres. Les constatations publiées de l'AFM donnent aux équipes de conformité un cadre concret pour se comparer, indépendamment de l'endroit où leurs clients sont basés.
Source : AFM (Autoriteit Financiële Markten)
Que couvre l'examen PEP de l'AFM ?
L'examen a évalué comment les entreprises d'investissement, les fonds d'investissement et les prestataires de services financiers gèrent la diligence raisonnable à l'égard de la clientèle pour les personnes politiquement exposées, y compris leur utilisation d'outils de filtrage, la formation du personnel, la documentation et les pratiques d'évaluation individuelle des risques.
L'utilisation d'un outil de filtrage tiers satisfait-elle aux exigences PEP de l'AFM ?
Non. L'AFM précise que la responsabilité de l'exactitude et de l'exhaustivité du filtrage PEP incombe à l'entreprise. Les entreprises doivent vérifier que tout outil qu'elles utilisent effectue les contrôles corrects et que ses listes sous-jacentes sont tenues à jour, y compris la capture des changements de statut PPE en cours de relation.
La nationalité peut-elle être utilisée comme facteur dans les évaluations des risques PEP ?
L'AFM a constaté que l'utilisation de la nationalité comme critère autonome ou principal crée un risque de discrimination injustifiée et est analytiquement insuffisant. Cela peut faire partie d'un tableau contextuel plus large, mais le rôle spécifique, l'historique et l'exposition de l'individu doivent guider l'évaluation.
Qui est considéré comme une PPE selon les règles appliquées par l'AFM ?
La catégorie couvre la personne occupant ou ayant occupé une fonction publique importante, les membres de sa famille immédiate et ses associés d'affaires proches. L'AFM a constaté que cette portée complète n'était pas appliquée de manière cohérente au sein des entreprises.
Quelle formation l'AFM attend-elle pour le personnel effectuant la diligence raisonnable PEP ?
La formation doit être adaptée aux fonctions spécifiques que le personnel exerce, et non satisfaite par des qualifications financières générales. L'AFM attend que les programmes soient ancrés dans la pratique réelle et correspondent aux tâches réelles liées aux PEP que chaque rôle implique.