Question 8 : Quel est le principal dispositif mis en œuvre afin de maîtriser les risques de non-conformité?

Introduction
     La notion de conformité a été affirmée dans le règlement 97-02 en 2006 et ne cesse de se renforcer depuis les dernières crises financières, notamment en matière de politique de rémunération, d’alerte éthique, de gouvernance, de devoir de conseil, de lutte contre la fraude, etc.
     Le responsable de la conformité gère un risque qui s’exprime par la négative : le risque de non-conformité se définissant comme suit : « un risque de sanction judiciaire, administrative ou disciplinaire, de perte financière significative ou d’atteinte à la réputation, qui naît du non-respect de dispositions propres aux activités bancaires et financières, qu’elles soient de nature législatives ou réglementaires, ou qu’il s’agisse de normes professionnelles et déontologiques, ou d’instructions de l’organe exécutif prises notamment en application des orientations de l’organe délibérant ».
     Je vais tâcher d’expliquer, dans un premier temps, ce que sont les risques de non-conformité afin de m’attacher, dans un second temps, au dispositif mis en œuvre afin de maîtriser ces risques.

I - Non-conformité : risques juridique et opérationnel

A) La non-conformité représente un risque juridique
     La définition qui en est donnée le distingue du risque de litige contractuel avec un client ou une contrepartie provenant de l’inexécution par la banque des engagements pris avec ce client subissant un dommage (exemple d’un délai non respecté de mise à disposition de fonds auprès d’un notaire dans le cadre d’un crédit immobilier). Mais, une banque qui adresse à un emprunteur une offre de prêt de forme irrégulière ou incomplète s’expose à l’action de son co-contractant visant à la nullité de la stipulation d’intérêt, ainsi qu’à un risque d’amende, prévue dans ce cas par les dispositions du Code de la consommation. Ainsi définie, la non-conformité recouvre en réalité, pour une grande partie, ce que le juriste de banque dénomme :
- d’une part, la responsabilité pénale du banquier ;
- d’autre part, la responsabilité professionnelle concernant les règles de fonctionnement interne fixées par le législateur ou les autorités de tutelle.
Prenons l’exemple d’un défaut de procédure écrite ou de formation concernant une diligence anti-blanchiment. Cet exemple fait ressortir des risques de non-conformité à plusieurs niveaux :
- risque pénal : pour le responsable conformité, ses supérieurs et pour l’établissement ;
- risque de sanction professionnelle pour manquement à ses obligations ;
- sanction pécuniaire ;
- risque de réputation : lié à la publication par l’ACPR et/ou l’AMF. Une haute réputation est cruciale pour un groupe bancaire. Elle est la condition, notamment de sa capacité à s’assurer le dépôt et la gestion des actifs de ses clients et à jouer son rôle d’intermédiation financière dans les meilleures conditions.
Le risque de non-conformité et le risque de litige apparaissent comme les deux composantes du risque juridique.

B) Non-conformité : risque opérationnel
     Le risque opérationnel est « le risque de pertes découlant d’une inadaptation ou d’une défaillance des processus, du personnel et des systèmes internes ou d’évènements extérieurs, y compris le risque juridique. Il inclut aussi les risques de fraude interne et externe » (CRBF 97-02). Il y a donc recoupement partiel dans les sources de risques mais différenciation dans les conséquences : un risque opérationnel concrétisé est une perte financière par le fait du handicap d’activité, qui se traduit généralement par un ralentissement et, plus rarement, par l’arrêt partiel ou total des opérations. Prenons l’exemple d’un agent, non formé et ne disposant pas de guides de procédures, pouvant provoquer divers incidents qui représentent à la fois un risque opérationnel (traitement erroné de l’opération), un risque juridique (litige avec un client insatisfait, non-respect des procédures et des textes réglementaires entraînant un risque de sanction pécuniaire) et un risque de non-conformité.

Transition
     Nous venons de montrer que le risque de non-conformité recouvrait les risques juridiques, opérationnels et de réputation. Pour les éviter, les banques et les entreprises d’investissement mettent en place un dispositif de contrôle de conformité.

II - Le dispositif de contrôle de conformité
     Afin de limiter les risques de non-conformité, les banques adoptent deux comportements :
- la compliance, en s’attachant au respect des règles et recommandations des autorités ;
- la déontologie, en élaborant des règles de bonne conduite professionnelles et en s’appuyant sur des écrits internes mais aussi externes (issus de l’AMF ou des textes de lois : comme le code monétaire et financier).
D’où le lien étroit entre la compliance, la conformité et la déontologie.
Dans la maîtrise des risques de non-conformité, les banques effectuent différents niveaux de contrôle.

A) Le contrôle de premier niveau
     Ce niveau de contrôle est à la charge des opérationnels qui doivent le mettre en œuvre au fur et à mesure du traitement de leurs différentes tâches et qui ont l’obligation de réaliser et de formaliser ces contrôles.

B) Le contrôle de deuxième niveau ou contrôle permanent  
     Il s’agit d’un contrôle indépendant de celui des opérationnels. Il a pour objet de s’assurer régulièrement de la réalisation et de l’efficacité des contrôles de niveau 1 et du respect des procédures, de la réalisation de missions et contrôles transversaux ainsi que du reporting à la Direction Générale, aux autorités de tutelle. La fonction de contrôle permanent suppose une indépendance hiérarchique entre l’initiateur d’une opération et celui qui la valide. En outre, les responsables du contrôle permanent du niveau le plus élevé, s’ils ne sont pas des dirigeants effectifs, ne doivent pas effectuer d’opérations qu’ils sont chargés de contrôler. Ces missions seront menées par des équipes spécialement dédiées à cette fonction.

C) Le troisième niveau ou contrôle périodique
     Il a pour rôle de veiller au bon fonctionnement du dispositif de contrôle, afin d’informer les dirigeants effectifs et l’organe de surveillance. Le contrôle périodique de la conformité des opérations, du niveau de risque encouru, du respect des procédures, de l’efficacité et du caractère approprié des dispositifs, est assuré au moyen d’enquêtes par des agents au niveau central ou local mais par des équipes différentes de celles qui réalisent les contrôles de premier et deuxième niveau décrits plus haut (audit). La fonction de contrôle périodique doit être aussi placée en situation d’indépendance par rapport à l’ensemble des entités et services qu’elle a à contrôler. Elle agit sur programme établi, au moins une fois par an, sur la base d’objectifs annuels fixés par les dirigeants effectifs et des orientations en matière de contrôle, de l’organe de surveillance.

Conclusion
     Suite aux scandales financiers qui ont ponctué l'actualité mondiale de ces dernières années, les différentes autorités de contrôle ont imposé aux acteurs concernés, et notamment aux banques, d'organiser ou de renforcer le dispositif de contrôle au sein de leur organisation. La conformité bancaire et financière joue un double rôle, celui de protection du système bancaire et celui des consommateurs de produits financiers. Pour répondre aux attentes réglementaires de plus en plus contraignantes et au respect des règles de bonne conduites, les établissements ont su s'adapter.