LCB-FT – Détection et analyse des opérations atypiques

Aucun dispositif de lutte contre le blanchiment ne vaut par ses procédures écrites : il vaut par son aptitude à faire surgir, dans le flux ordinaire des opérations, celle qui ne ressemble à rien de ce que le client fait d’habitude. De la vigilance du chargé de clientèle à l’alerte produite par un moteur de scénarios, c’est une chaîne entière de responsabilité que le législateur, le superviseur et le juge ont patiemment structurée.

I) L’assise normative de la vigilance

Détecter une opération atypique suppose d’abord de savoir ce qu’est le typique. Toute la matière tient dans ce préalable : l’anomalie n’est pas une propriété intrinsèque de la transaction, elle est un écart — et un écart se mesure toujours par rapport à une référence que l’organisme financier a lui-même construite. Avant d’examiner les instruments de la détection, il faut donc établir d’où vient l’obligation de surveiller, sur quoi elle porte, selon quelle grille elle s’exerce et à quelles conditions un mouvement de fonds bascule du régime ordinaire vers celui de l’examen approfondi.

A) La source de l’obligation de surveillance

1) Le socle légal et réglementaire

L’obligation ne se présente pas sous la forme d’une prescription ponctuelle mais sous celle d’une exigence d’organisation. Il incombe à chaque organisme financier de bâtir une architecture interne capable d’identifier, d’évaluer et de maîtriser les risques de blanchiment de capitaux et de financement du terrorisme auxquels son activité l’expose. Le législateur ne dicte pas la forme de cette architecture : il en fixe la fonction et impose qu’elle soit proportionnée à la taille, à la nature et à la complexité des activités exercées. C’est dire qu’aucun modèle standard ne saurait valoir quitus — le dispositif se conçoit sur mesure, à la mesure exacte des risques effectivement encourus.

Le dispositif ainsi commandé poursuit trois finalités que l’on aurait tort de confondre. Il doit, d’abord, rendre possible l’exercice effectif des diligences de vigilance et la transmission à Tracfin des informations utiles ; ensuite, permettre à l’entité de cerner et de mesurer les risques inhérents à ses propres activités ; enfin, garantir le repérage systématique des transactions appelant un traitement approfondi. Cette architecture s’imbrique dans le contrôle permanent de l’entité, lequel s’articule, dans les établissements d’une taille significative, autour d’un triple échelon : les opérations courantes, la supervision indépendante, la vérification par l’audit interne. Le mécanisme est complété au plan réglementaire, l’arrêté du 6 janvier 2021 précisant tant les conditions de calibration des outils de surveillance que l’organisation qui les gouverne. Encore faut-il mesurer ce que ce faisceau exige : la seule existence formelle de procédures ne vaut rien. La Commission des sanctions le rappelait déjà sous l’empire du règlement n° 97-02, en jugeant qu’un établissement devait se doter de dispositifs de suivi et d’analyse fondés sur la connaissance de la clientèle et permettant de détecter les anomalies au regard du profil des relations d’affaires (Commission des sanctions de l’ACPR, décision n° 2011-03 du 27 novembre 2012, à l’égard de Bank Tejarat Paris, de M. Mohammad M.). L’exigence porte sur l’effectivité, non sur l’écrit.

2) L’articulation avec le droit de l’Union

La matière est européenne dans son inspiration et nationale dans son application. Jusqu’à présent, les directives successives ont été transposées au Code monétaire et financier, de sorte que c’est ce dernier — et lui seul — qui fonde aujourd’hui les griefs et les sanctions. Le paquet adopté le 31 mai 2024 renverse cette économie : le règlement (UE) 2024/1624 posera des règles directement applicables, sans truchement national. Mais il ne le fera pas tout de suite. Son article 90 fixe son application au 10 juillet 2027, reportée au 10 juillet 2029 pour les entités assujetties visées à son article 3, points 3) n) et o). D’ici là, invoquer ses dispositions comme du droit positif serait une erreur de méthode.

La comparaison des deux états du droit est instructive : la continuité l’emporte largement sur la rupture. Ce que le règlement apporte tient moins à de nouvelles obligations qu’à une uniformisation de leur rédaction et à un durcissement de leur précision.

3) La portée d’une obligation de moyens renforcée

Nul n’est tenu de découvrir tout blanchiment. L’obligation ne porte pas sur le résultat de la détection mais sur la qualité du dispositif qui la rend possible : c’est le dispositif que le superviseur inspecte, c’est lui qu’il sanctionne, indépendamment du point de savoir si des fonds d’origine criminelle ont effectivement transité. Aussi l’obligation est-elle de moyens — mais de moyens renforcés, en ce que l’organisme doit être en mesure de démontrer la pertinence de ses choix, la couverture de son périmètre et l’effectivité de leur mise en œuvre. La démonstration est à sa charge et elle est permanente.

Cette exigence de moyens ne se confond pas davantage avec une garantie donnée à autrui. Les obligations de vigilance ont pour seule finalité la lutte contre le blanchiment et le financement du terrorisme, de sorte que la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour obtenir réparation de l’organisme financier (Cass. com., 4 mars 2026, n° 24-19.588 ; déjà en ce sens Cass. com., 21 septembre 2022, n° 21-12.335). Le manquement se juge devant l’autorité de supervision, non devant le juge de la responsabilité civile. On mesure alors ce que sanctionne réellement la carence : la Commission des sanctions a retenu qu’un établissement qui avait bien classé près de deux mille clients en vigilance renforcée n’en avait appliqué les mesures effectives qu’à une fraction d’entre eux, sans que cette application partielle repose sur la moindre analyse des risques (Commission des sanctions de l’ACPR, décision n° 2024-02 du 19 juin 2025, à l’égard de la banque Delubac et Cie). Classer n’est pas surveiller.

B) Le périmètre de la surveillance

1) L’universalité des relations d’affaires

La vigilance étant constante, elle est aussi générale : toute relation d’affaires y est soumise, sans qu’il soit permis d’en soustraire par principe une catégorie entière. Écarter d’office un segment de clientèle ou une famille de transactions du champ de la surveillance automatisée heurte de front le principe posé par l’article L. 561-6. Des dérogations individuelles demeurent concevables, mais à trois conditions strictes : qu’elles soient motivées, qu’elles soient tracées et qu’elles soient périodiquement réexaminées pour vérifier que leur justification tient toujours.

Encore faut-il que l’unité surveillée soit la bonne. La Commission des sanctions a censuré un assureur dont l’outil opérait par numéro de client et non par relation d’affaires, alors qu’un même client peut détenir plusieurs numéros dès lors qu’il souscrit par l’intermédiaire de réseaux distincts ; ce cloisonnement interdisait toute analyse pertinente de son comportement d’ensemble (Commission des sanctions de l’ACPR, décision n° 2022-03 du 12 octobre 2023, à l’égard de la société Abeille Vie). Le périmètre n’est donc pas seulement une question d’étendue : il est une question de maille. Une surveillance qui couvre tout le monde mais fragmente chacun ne couvre personne.

2) L’exhaustivité des flux surveillés

Le périmètre embrasse la totalité des transactions, habituelles ou ponctuelles, et non les seuls mouvements que l’organisme juge spontanément sensibles. Y entrent au premier chef les flux impliquant des personnes rattachées à un État figurant sur les répertoires internationaux — listes du GAFI, registre européen des juridictions à haut risque — ainsi que toute transaction inhabituelle susceptible d’appeler les diligences complémentaires de l’article L. 561-10-2, voire une transmission d’informations à Tracfin au titre de l’article L. 561-15.

L’exhaustivité se vérifie par les trous. Dans la même affaire, l’absence de tout scénario relatif au nantissement d’un contrat au profit d’un tiers avait laissé passer des opérations qui auraient dû être déclarées : un mécanisme juridique entier échappait à la détection parce qu’aucune règle ne l’avait envisagé. Ailleurs, aucune alerte ne couvrait le risque tiré du pays de résidence des clients, tandis que les modalités de retrait des fonds et les virements vers des comptes bancaires demeuraient insuffisamment contrôlés (Commission des sanctions de l’ACPR, décision n° 2019-07 du 23 décembre 2020, à l’égard d’un établissement de paiement). La lacune n’est jamais visible depuis l’intérieur du dispositif — elle ne produit aucune alerte, par définition. C’est pourquoi la couverture se démontre, et ne se présume pas.

3) Le cas des opérations occasionnelles

Le client de passage constitue la difficulté la plus tenace, car il échappe précisément à ce qui fonde l’atypie : l’historique. Faute de profil constitué, la surveillance ne peut s’appuyer sur l’écart au comportement antérieur et doit se reporter sur d’autres appuis — les seuils de montant, les données de comparaison par pairs, et surtout des règles d’agrégation permettant de rapprocher des transactions connexes que rien ne relie formellement. À défaut, le fractionnement suffit à neutraliser toute détection. Le droit de l’Union consacrera cette logique en un seuil unique.

L’argument tiré de la nature de l’instrument ne dispense de rien. Un établissement soutenait que le remboursement de bons, titres de créance négociables, était par construction licite, le porteur ne faisant que réclamer le paiement d’une créance incontestable, et qu’aucun levier réglementaire ne l’autorisait à interroger le client sur l’origine des fonds ou sur les conditions dans lesquelles il en était devenu détenteur. La Commission des sanctions n’a pas suivi ce raisonnement (Commission des sanctions de l’ACPR, décision n° 2017-03). La licéité de l’instrument ne dit rien de la licéité des fonds qu’il véhicule : c’est confondre le titre et son histoire.

C) La classification des risques

1) Les axes réglementaires d’évaluation

Toute la chaîne repose sur un acte préalable : la classification des risques. L’organisme identifie et évalue son exposition selon cinq axes — les clients, les produits, les canaux de distribution, les zones géographiques et les opérations — puis en tire la hiérarchie qui commandera l’intensité de sa vigilance. Cette cartographie n’est pas un document de conformité : c’est le référentiel dont dériveront les seuils, les scénarios et les priorités de traitement. Une erreur commise à ce stade se propage mécaniquement à tout l’aval.

2) L’exigence d’une classification discriminante

La Commission des sanctions a posé plusieurs jalons méthodologiques dont la portée dépasse les espèces jugées. Les paramètres retenus doivent posséder un pouvoir distinctif réel, c’est-à-dire opérer une segmentation effective de la clientèle : une classification qui range la quasi-totalité du portefeuille dans une même catégorie ne classe rien. Lorsqu’elle repose sur des seuils monétaires, ceux-ci doivent être proportionnés aux habitudes transactionnelles du segment considéré et refléter son niveau moyen d’activité — un seuil calibré trop haut au regard du comportement observé rend la règle inopérante sans qu’aucun contrôle ne le signale. Enfin, la cartographie doit être exhaustive et opérationnelle : l’exercice purement formel, dépourvu de traduction dans le calibrage des alertes, ne satisfait pas à l’exigence réglementaire.

Deux illustrations en marquent les extrémités. D’un côté, une caisse d’épargne s’est vu reprocher non pas l’absence de procédures, mais l’absence d’une classification des risques qui lui fût propre : l’appartenance à un groupe et l’existence d’une classification consolidée ne dispensent pas l’entité de disposer de la sienne, ajustée à son portefeuille et à ses implantations (Commission des sanctions de l’ACPR, décision n° 2013-01 du 25 novembre 2013, à l’égard de la Caisse d’épargne et de prévoyance). De l’autre, les carences relevées en matière d’examen renforcé ont été imputées conjointement à une connaissance insuffisante des clients concernés et à la fixation de seuils trop élevés au regard de l’activité réelle (Commission des sanctions de l’ACPR, décision n° 2017-10 du 10 janvier 2019, à l’égard d’un établissement de paiement). Dans les deux cas, la faute n’est pas d’avoir mal détecté : elle est d’avoir mal défini ce qu’il fallait détecter.

3) L’actualisation périodique de la cartographie

Une classification est une photographie ; le risque, lui, se déplace. Elle doit donc être réévaluée au fil des typologies émergentes signalées par Tracfin et les autorités de supervision, mais aussi lors du lancement d’un produit nouveau, d’une inflexion de la politique commerciale ou de l’ouverture d’un canal de distribution inédit. La doctrine administrative en tire les conséquences au niveau individuel : la fréquence de mise à jour de la connaissance de la relation d’affaires, comme l’étendue des informations à rafraîchir, dépendent du profil de risque, et l’actualisation intervient en tout état de cause lors de tout changement significatif affectant la relation. Pour les relations présentant un risque élevé, l’ACPR attend une actualisation plus fréquente et une surveillance portant sur l’ensemble des contrats détenus, non sur le seul contrat mouvementé.

D) La notion d’opération atypique

1) L’écart au profil du client

L’atypie est relationnelle : la même opération est banale chez l’un et aberrante chez l’autre. Les données recueillies lors de l’identification du client constituent le socle de cette comparaison, et l’outil doit pouvoir repérer un volume cumulé de mouvements sans rapport avec la capacité économique déclarée, des types de transactions étrangères à l’activité habituelle, ou encore des flux vers des contreparties dont la géographie, le nombre ou la nature suscitent l’interrogation. La comparaison par pairs — montant moyen, récurrence, profil du segment — vient corriger ce que la seule référence individuelle aurait d’étroit.

Il suit de là que la corruption du profil ruine la détection à sa racine. La production de faux documents lors de l’entrée en relation — pièce d’identité contrefaite, trucage numérique de type deepfake, acte notarié falsifié invoqué pour justifier la provenance des fonds — n’est pas seulement une fraude à l’identification : elle installe une référence mensongère au regard de laquelle toutes les opérations ultérieures paraîtront cohérentes. Lorsqu’un tel stratagème est mis au jour, l’organisme réévalue le profil de son client et apprécie l’opportunité de saisir Tracfin dans les conditions de l’article L. 561-8, la transmission se justifiant particulièrement lorsque la manœuvre révèle une sophistication notable — ramifications entre plusieurs dossiers, recours à des technologies avancées — ou porte sur des montants disproportionnés, appréciés isolément ou cumulativement.

2) L’absence de justification économique

L’écart au profil n’épuise pas la notion. Une opération peut s’inscrire sans heurt dans les habitudes du client et n’en demeurer pas moins dépourvue de rationalité économique : montage inutilement complexe, circuit de fonds sans finalité intelligible, valeur sans commune mesure avec l’objet apparent. Ce second critère est autonome, et il est celui que retient l’article L. 561-10-2 en visant l’opération particulièrement complexe, d’un montant inhabituellement élevé, ou ne paraissant pas avoir de justification économique ou d’objet licite. La jurisprudence judiciaire, rare en ce domaine, en offre une application exemplaire à propos d’un officier public.

3) Le seuil de l’examen renforcé

Trois seuils, souvent confondus, se succèdent en réalité. L’alerte n’est qu’un signal produit par le dispositif de surveillance : elle indique une possibilité d’anomalie et n’emporte par elle-même aucune qualification. L’opération atypique est celle qui, confrontée aux données de la relation d’affaires, ne reçoit pas d’explication satisfaisante — et c’est ce défaut d’explication, non l’alerte, qui commande l’examen renforcé de l’article L. 561-10-2. Le soupçon, enfin, est ce qui naît, le cas échéant, à l’issue de cet examen et ouvre la déclaration à Tracfin dans les conditions de l’article L. 561-15. À compter du 10 juillet 2027, l’article 34 du règlement de 2024 exprimera la même exigence en imposant d’examiner l’origine et la destination des fonds, ainsi que la finalité de la transaction, dès lors qu’elle présente notamment un caractère complexe.

Cette gradation appelle une conséquence pratique décisive : le franchissement de chaque seuil est un acte d’appréciation, et un acte d’appréciation se documente. Un dispositif irréprochable dans sa conception mais dont les décisions ne laissent aucune trace se trouve, devant le superviseur, dans la même situation qu’un dispositif inexistant. Reste que ce socle normatif, si soigneusement établi soit-il, ne vaut que par ceux qui l’exécutent — collaborateurs au contact de la clientèle, réseaux de distribution externalisés, outils automatisés de détection — et par la manière dont leurs vigilances respectives s’articulent.

II) L’organisation de la détection

Savoir ce qu’est une opération atypique ne dit encore rien de la manière de la trouver. L’obligation posée par l’article L. 561-32 du Code monétaire et financier est une obligation d’organisation : elle ne se satisfait ni d’une intention, ni d’un principe inscrit dans une procédure, mais commande de bâtir un dispositif qui, en fait, fasse remonter le signal jusqu’à celui qui saura le lire. Or ce dispositif repose sur deux jambes que rien ne permet de confondre — l’œil du collaborateur et la machine — et la Commission des sanctions de l’ACPR juge l’une comme l’autre. Encore faut-il ajouter que ces deux jambes ne portent pas le même poids selon la taille de l’établissement, et que leur articulation constitue, à elle seule, un objet de contrôle.

A) La vigilance du personnel

La détection n’est l’affaire d’aucun service en particulier : elle incombe à l’ensemble du personnel concerné, et c’est là un point sur lequel la doctrine administrative de l’ACPR et de Tracfin ne varie pas. L’automate ne voit que ce que ses données lui montrent ; l’homme, lui, voit ce que les données ne portent pas.

1) Les collaborateurs en contact avec la clientèle

Au premier rang de ce dispositif se tiennent ceux qui reçoivent le client : conseillers, chargés de clientèle, guichetiers. Leur position leur confère une capacité d’observation qu’aucun système ne reproduit — l’embarras devant une question simple, l’incohérence entre le train de vie affiché et la situation déclarée, la présence insistante d’un tiers lors de la souscription, le refus de justifier l’origine des fonds. Ces indices ne se convertissent en données qu’après coup, s’ils sont consignés ; le collaborateur est donc, littéralement, le capteur de ce que l’outil ne captera jamais.

Cette vigilance ne s’arrête pas aux salariés. Elle s’étend à toute personne agissant sous la responsabilité de l’organisme, ce qui recouvre l’ensemble des fonctions support de la lutte contre le blanchiment — analystes chargés du traitement des alertes, déclarant et correspondant Tracfin, équipes de conformité — et, en aval, les deux niveaux de contrôle interne. La chaîne, en réalité, se déploie sur quatre maillons dont chacun voit ce que les autres ne voient pas.

2) La formation et la sensibilisation continues

Un œil ne détecte que ce qu’il a appris à reconnaître. C’est pourquoi l’article L. 561-34 du Code monétaire et financier impose l’information et la formation régulières de tous les membres du personnel concernés — obligation qui n’est pas un accessoire du dispositif mais l’une de ses conditions de possibilité. Faute d’un tel effort pédagogique, l’architecture préventive repose sur des fondations précaires : la procédure existe, personne ne sait la mettre en œuvre.

La doctrine administrative de l’ACPR précise l’exigence en la modulant : la formation s’adapte à l’activité des personnes concernées, à leur degré d’exposition aux risques de blanchiment et de financement du terrorisme, et au niveau de responsabilité qu’elles exercent. Le personnel exposé comprend au premier chef ceux qui reçoivent la clientèle, mais aussi — dans le secteur des assurances — ceux qui encaissent les primes et gèrent les contrats. Son contenu, lui, ne se réduit pas à un rappel des textes : il porte sur la reconnaissance des montages frauduleux, sur la compréhension des infractions sous-jacentes, sur les circuits internes de remontée des anomalies et sur la maîtrise des outils mis à disposition.

3) Les canaux internes de remontée

Un signal détecté et non transmis équivaut à un signal manqué. L’organisme doit donc ménager des circuits de remontée identifiés, accessibles et rapides, dont le tracé figure dans ses procédures internes. L’enjeu se durcit lorsque la distribution s’appuie sur plusieurs réseaux : l’ACPR rappelle qu’une telle organisation ne saurait faire obstacle à une circulation rapide de l’information entre les structures internes qui concourent au dispositif. La même exigence vaut à l’échelle du groupe, entre lignes de métiers et entre entités exerçant des activités différentes — assurance, banque, assurance vie et non-vie —, à peine de laisser le profil de risque d’un même client se fragmenter entre autant de vues partielles.

B) La distribution externalisée

La difficulté change de nature lorsque le client n’est plus reçu par l’organisme lui-même. Confier la commercialisation à un tiers, c’est éloigner l’œil du point d’observation : le premier maillon de la détection se trouve alors chez celui qui n’est pas l’assujetti.

1) Les agents et mandataires d’assurance

L’organisme d’assurance qui distribue par agents généraux, courtiers ou mandataires ne délègue rien de son obligation. Il lui revient, aux termes de l’article R. 561-38 du Code monétaire et financier, de rédiger à l’intention de ses collaborateurs comme de ses mandataires des procédures adossées à la classification des risques, couvrant notamment la mise en œuvre des mesures de vigilance et la détection des transactions inhabituelles. L’ACPR y ajoute une exigence de contrôle : l’organisme est pleinement responsable de la formation et de l’information régulières de ses agents généraux et mandataires, et il lui est demandé de s’assurer que les préposés de ceux-ci ont effectivement été formés. La consigne donnée sans vérification de son application n’acquitte pas l’obligation.

2) Le modèle de la banque en marque blanche

Le procédé se radicalise dans le modèle dit de la banque comme service, où un partenaire commercial exploite sous sa propre marque une solution technologique conçue par un établissement agréé. L’agrément, la responsabilité et le contrôle demeurent chez l’établissement ; la relation client, elle, se noue ailleurs. De cette dissociation naît une vulnérabilité accrue au blanchiment et au financement du terrorisme, dont la source tient moins à la mauvaise volonté des acteurs qu’à l’opacité que le montage installe.

Deux exigences en découlent. La première tient à l’accès : l’établissement doit conserver une visibilité complète sur l’activité de son partenaire et obtenir sans délai la totalité des informations nécessaires au pilotage du risque — une donnée qu’on ne peut consulter qu’en la demandant au partenaire est une donnée perdue le jour où Tracfin exercera son droit de communication. La seconde tient au moment : l’établissement doit participer à la conception même des offres commercialisées, afin d’éprouver la robustesse des mécanismes de maîtrise des risques, dans leur composante informatique comme dans leur dimension humaine, avant toute mise sur le marché. Le périmètre d’intervention de l’agent doit, enfin, être intégralement couvert par les procédures de contrôle interne de l’établissement — non pas en principe, mais dans le plan de contrôle effectivement exécuté.

3) La responsabilité irréductible de l’assujetti

Quel que soit le montage, la responsabilité du dispositif incombe à l’assujetti sans partage. Le droit de l’Union confirmera bientôt cette lecture en la formalisant : l’article 18 du règlement (UE) 2024/1624 autorise expressément la sous-traitance à des prestataires de tâches découlant du règlement, sous réserve d’en informer le superviseur avant que le prestataire ne commence à les exécuter, et pose que ces prestataires sont alors considérés comme faisant partie de l’entité assujettie. La formule est éclairante : la sous-traitance ne déplace pas la charge, elle étend le périmètre de l’entité. Encore faut-il rappeler que ce texte, adopté le 31 mai 2024, ne sera applicable qu’à compter du 10 juillet 2027 — et du 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o). Jusque-là, c’est le Code monétaire et financier qui gouverne, et il ne dit rien d’autre.

C) L’outil automatisé de détection

1) L’absence d’obligation textuelle d’automatisation

Aucune disposition n’impose expressément aux organismes financiers de se doter d’un outil informatique de détection. Le législateur a préféré une obligation de résultat organisationnel — disposer d’un dispositif de surveillance adapté — à la prescription d’un moyen technique dont l’obsolescence serait certaine.

Le texte n’est pourtant pas neutre quant aux moyens : en commandant de tenir compte du volume et de la nature de l’activité, il fait de la dimension de l’établissement un paramètre de la conformité. C’est par ce chemin que l’obligation d’automatiser se reconstitue.

2) La nécessité tirée du volume d’affaires

Ce que la loi ne prescrit pas, les faits l’imposent. La taille, la complexité et le volume d’affaires de l’établissement rendent fréquemment le recours à un système automatisé pratiquement incontournable, et la Commission des sanctions de l’ACPR l’a jugé de longue date : dans sa décision du 25 novembre 2013 rendue au titre de la procédure n° 2013-01, elle a retenu qu’un établissement traitant un volume important d’opérations ne pouvait se dispenser d’un dispositif automatisé de détection. Le raisonnement est de pur bon sens : au-delà d’un certain flux, la vigilance humaine ne couvre plus qu’un échantillon, et un échantillon n’est pas une vigilance constante.

De là découle une conséquence que la Commission a énoncée à plusieurs reprises et qu’il faut retenir : la coexistence de dispositifs complémentaires ne pallie pas le défaut de paramétrage de l’outil principal. La Commission a précisé, dans sa décision n° 2020-03 du 29 avril 2021 rendue à l’égard de la société A, qu’une insuffisance de l’outil automatisé ne pouvait être compensée par un traitement manuel qu’à la condition que celui-ci couvre la totalité de la clientèle en relation d’affaires, à l’entrée en relation comme lors de l’exécution des opérations ultérieures — condition dont elle a souligné la grande difficulté pratique pour un établissement de quelque taille. L’argument tiré des « autres scénarios » qui auraient rattrapé le seuil défaillant a de même été écarté dans la décision n° 2023-01 du 27 juin 2024 rendue à l’égard de la Banque régionale d’escompte et de dépôts. Autrement dit, chaque brique du dispositif répond de son propre paramétrage.

Là où plusieurs solutions informatiques coexistent, l’organisme veille à organiser entre elles, autant que la technique le permet, une communication fluide, et en toute hypothèse à se ménager une appréhension consolidée de chaque relation d’affaires, à l’échelle de l’entité comme à celle du groupe. Le cloisonnement des systèmes est, en lui-même, un grief : la décision n° 2022-03 du 12 octobre 2023 rendue à l’égard de la société Abeille Vie retient ainsi qu’une surveillance opérée par numéro de client, et non par relation d’affaires, ne permettait pas une analyse pertinente des opérations, dès lors qu’un même client peut détenir plusieurs numéros s’il a souscrit par des intermédiaires différents. La vue fragmentée ne produit pas une vigilance partielle : elle produit une vigilance fausse.

Un point de vigilance particulier s’attache enfin à la délocalisation de tout ou partie de la chaîne de détection hors du territoire national. L’organisme doit alors anticiper les difficultés propres à cette organisation — barrière de la langue, connaissance lacunaire du cadre réglementaire français, perception insuffisante des risques du marché national — et déployer les correctifs appropriés, à peine de voir la conformité formelle du dispositif démentie par sa cécité réelle.

3) L’apport et les limites de l’apprentissage automatique

Les techniques avancées de traitement de la donnée, réunies sous le vocable d’apprentissage automatique, et plus récemment les outils d’intelligence artificielle générative, ouvrent au dispositif des perspectives sérieuses. L’organisme qui déploie une solution automatisée peut légitimement y recourir, sous réserve que la mise en œuvre satisfasse aux exigences de transparence, d’explicabilité et de contrôle humain. Chaque usage porte, en regard de son apport, un risque qui lui est propre.

La doctrine administrative de l’ACPR et de Tracfin illustre concrètement cet apport : comparer les montants d’espèces à ceux attendus pour un type d’activité et un chiffre d’affaires donnés, ou par rapport à un groupe de pairs, tenir compte du traitement d’alertes similaires passées, faire varier l’ampleur de l’écart à la norme déclenchant l’alerte selon le niveau de risque du client. Autant d’affinements qu’une règle fixe ne produit pas.

Ces techniques ne constituent pourtant pas une réponse universelle, et leur promotion en remède général serait une faute d’analyse. Leur pertinence s’estompe lorsqu’une règle élémentaire suffit à déclencher le signal, lorsque le cas est trop ponctuel pour se prêter à la modélisation, ou lorsque le corpus de données demeure trop restreint pour garantir la robustesse du modèle. Surtout, quelle que soit la solution retenue, l’organisme conserve la responsabilité pleine et entière de la transparence algorithmique, et toute donnée produite par ces outils doit être soumise à une vérification humaine adéquate — spécialement lorsqu’elle nourrit un examen renforcé ou la rédaction d’une déclaration adressée à Tracfin. Le régulateur ne juge pas l’algorithme ; il juge l’organisme qui s’en sert.

D) Le paramétrage des scénarios

L’outil ne vaut que ce que valent ses règles. C’est le paramétrage, et non l’acquisition de la solution, qui constitue le véritable objet du contrôle — et c’est là que la Commission des sanctions trouve la matière la plus abondante de ses griefs.

1) La connaissance du client comme préalable

Aux termes de l’article 4 de l’arrêté du 6 janvier 2021, le calibrage des outils de surveillance repose sur une connaissance approfondie de la clientèle et doit refléter les particularités de l’activité, des implantations géographiques et de la classification des risques propre à l’entité. La règle est d’une logique implacable : un scénario détecte un écart, et l’écart suppose une norme de référence, que seule la connaissance du client fournit. Les informations recueillies lors de l’identification — revenus, patrimoine, activité déclarée — ne sont donc pas des pièces d’archive, mais les paramètres d’entrée de la détection.

La Commission des sanctions en tire les conséquences avec constance. Elle a rappelé, dans sa décision n° 2020-03 du 29 avril 2021 précitée, que les informations relatives au revenu et au patrimoine constituent des éléments essentiels des dispositifs de surveillance des clients en relation d’affaires, et retenu comme établi le défaut d’utilisation de ces informations dans les scénarios de l’outil. Sa décision n° 2021-05 du 1er décembre 2022, rendue à l’égard d’une caisse régionale de Crédit agricole mutuel, sanctionne dans le même esprit l’absence de tout scénario destiné à vérifier la cohérence entre les revenus connus du client et les flux créditeurs sur son compte — lacune qui a fait échapper à la détection les opérations de plusieurs clients. Un dispositif qui ignore ce que l’établissement sait de son client ne surveille pas ce client : il surveille un compte.

2) La couverture intégrale des clients et des flux

Lorsque l’automatisation est nécessaire, les composantes automatisées du dispositif doivent en principe couvrir l’intégralité de la clientèle et des opérations, y compris celles réalisées à titre occasionnel. L’exclusion générale d’un profil de clients ou d’une typologie d’opérations est, selon la doctrine administrative de l’ACPR et de Tracfin, incompatible avec l’exigence de vigilance constante posée par l’article L. 561-6 du Code monétaire et financier. Des exclusions individuelles demeurent concevables, mais au cas par cas, dûment motivées et soumises à un réexamen périodique qui en confirme le bien-fondé.

La Commission des sanctions a fait application de ce principe dans sa décision du 10 janvier 2019 rendue au titre de la procédure n° 2017-10 à l’égard d’un établissement de paiement : en subordonnant certaines vérifications à un seuil que la réglementation ne prévoyait pas pour la catégorie de clients concernée, l’établissement s’était privé de vérifier la qualité de personne politiquement exposée d’un nombre considérable de clients — plus de trente-quatre mille au moment du contrôle sur place — qui auraient dû être regardés comme étant en relation d’affaires au vu du nombre d’opérations exécutées. Le seuil ajouté par l’établissement à un texte qui n’en comportait pas est ainsi devenu, en fait, une exclusion de masse.

Le raisonnement vaut aussi pour l’absence pure et simple de scénario : dans l’affaire Abeille Vie précitée, le défaut de toute règle relative au nantissement d’un contrat au profit d’un tiers a entraîné la non-détection d’opérations qui auraient dû donner lieu à déclaration de soupçon. Le trou de couverture n’est pas moins grave que le seuil mal placé — il est seulement plus difficile à voir, puisqu’aucune alerte ne vient en signaler l’existence.

3) Le calibrage des seuils de déclenchement

Reste le point le plus délicat : la hauteur du seuil. Un seuil trop bas noie l’analyste sous un bruit qui rend le dispositif ingouvernable ; un seuil trop haut laisse passer précisément ce qu’il devait arrêter. La Commission des sanctions juge cette calibration au regard du comportement transactionnel attendu du segment de clientèle concerné, et non dans l’abstrait.

Deux illustrations en marquent la sévérité. Dans sa décision n° 2016-09 du 30 juin 2017 rendue à l’égard d’une caisse régionale de Crédit agricole mutuel, la Commission relève qu’un seuil de détection mensuel de huit mille euros par opération, appliqué aux mouvements de la clientèle placée sous surveillance renforcée, n’avait déclenché aucune alerte au cours de l’année 2014 — le silence de l’outil valant ici démonstration de son inadéquation. Dans la décision n° 2023-01 précitée, elle retient qu’un scénario déclenchant une alerte au-delà de cinquante mille euros pour une opération unitaire d’un client résidant dans un pays sensible était inadapté aux clients les plus modestes, et que des seuils de vingt à trente mille euros pour des retraits d’espèces demeuraient élevés au regard de la nature même de ces opérations. Le seuil, ici, ne se juge pas par son montant nominal mais par sa distance au comportement ordinaire de ceux qu’il vise.

Le calibrage suppose donc un travail préparatoire : détermination des fenêtres temporelles au regard de l’historique constaté, exploitation des éléments mentionnés à l’article R. 561-12 du Code monétaire et financier, recours aux données de comparaison par pairs — montant moyen, récurrence, profil —, surveillance ciblée des flux en lien avec des juridictions à risque élevé, règles d’agrégation adaptées aux opérations liées de clients occasionnels, et, avant tout déploiement, simulations validant la pertinence des règles et le volume d’alertes attendu. Un scénario mis en production sans simulation préalable est une hypothèse, non un contrôle.

E) La gouvernance du dispositif

Un outil bien paramétré le demeure rarement seul. Le risque évolue, les produits changent, les typologies se renouvellent : sans une gouvernance qui décide, documente et valide, la conformité du jour devient la carence de l’année suivante.

1) Le rôle du dirigeant responsable

L’article R. 561-38 du Code monétaire et financier commande de désigner un membre de la direction comme responsable de la mise en œuvre du dispositif prévu à l’article L. 561-32. Le choix du législateur est significatif : il rattache la conformité au sommet de l’organisation, là où se décident les arbitrages de moyens. L’article 5 de l’arrêté du 6 janvier 2021 en tire les conséquences pratiques en exigeant que les procédures internes détaillent les attributions et le positionnement hiérarchique de chaque collaborateur concourant au fonctionnement de l’outil, et identifient les instances de gouvernance — leur mission, leur champ d’action, leur mode opératoire —, singulièrement pour encadrer les décisions d’évolution technologique et d’ajustement du paramétrage.

Cette gouvernance conserve sa portée lorsque l’entité s’appuie sur les solutions mutualisées de son groupe. Elle demeure alors libre de les ajuster à ses propres besoins de fonctionnalités et de calibrage ; et si l’outil de groupe s’avère inadapté à ses réalités, elle doit garder la latitude de déployer des solutions alternatives répondant aux risques auxquels elle est concrètement exposée. L’appartenance à un groupe n’est pas une cause d’exonération.

2) La documentation des choix techniques

Ce qui n’est pas documenté ne se démontre pas. Chaque scénario doit pouvoir être rapporté au risque qu’il traite, chaque seuil au raisonnement qui l’a fixé, chaque exclusion à la motivation qui l’a permise. L’enjeu n’est pas de forme : devant la Commission des sanctions, l’établissement qui n’a pas conservé la trace de ses arbitrages se trouve désarmé, faute de pouvoir opposer au grief autre chose qu’une affirmation. La décision n° 2016-09 précitée l’énonce d’ailleurs avec netteté en distinguant deux reproches que l’on confond volontiers : le manquement à la vigilance constante, qui s’apprécie aux conséquences des choix retenus, et le défaut de paramétrage, qui s’apprécie en lui-même. Le second n’attend pas qu’une opération suspecte ait échappé au dispositif pour être caractérisé.

3) La validation des évolutions de l’outil

Toute modification du dispositif — création d’un scénario, révision d’un seuil, changement de solution, migration de données — doit enfin suivre un circuit de validation identifié, associant la fonction conformité et l’instance de gouvernance compétente. Les circonstances qui commandent une telle évolution sont connues : lancement d’un produit nouveau, inflexion de la politique commerciale, apparition d’une typologie inédite, constat d’une lacune par le contrôle interne ou par le superviseur. Le circuit, lui, doit être le même dans tous les cas, et se solder par une trace. Car le paramétrage n’est jamais acquis : il se déploie, se mesure, se révise — et c’est le traitement des alertes qu’il produit qui, seul, permettra de dire s’il fonctionne.

III) Le traitement des alertes

Un dispositif de détection ne vaut jamais mieux que ce qu’on fait des signaux qu’il produit. L’outil le mieux paramétré, servi par des scénarios pertinents et une connaissance client actualisée, ne prévient rien s’il déverse ses alertes dans une file d’attente que personne n’ouvre : la chaîne de vigilance se rompt au dernier maillon, et elle se rompt d’autant plus discrètement que les indicateurs de production restent flatteurs — le nombre d’alertes générées demeure élevé, alors même que le nombre d’alertes analysées s’effondre. Au vrai, c’est à ce stade que la Commission des sanctions de l’ACPR prononce le plus grand nombre de ses griefs : non parce que les organismes ne détectent pas, mais parce qu’ils détectent sans traiter. L’article 4 de l’arrêté du 6 janvier 2021, dont la Commission rappelle constamment les termes, ne se contente pas d’exiger la détection des opérations atypiques ; il commande, dans le même mouvement, de traiter les alertes sur la base d’une analyse documentée, laquelle doit déboucher sur l’une de trois issues seulement — un classement sans suite dûment motivé, un examen renforcé au sens de l’article L. 561-10-2 du Code monétaire et financier, ou une déclaration de soupçon dans les conditions de l’article L. 561-15.

A) L’analyse individuelle du signal

La première exigence tient à l’unité de traitement : ce qui doit être examiné, c’est chaque alerte, prise pour elle-même, et non un agrégat statistique dont on tirerait un taux global de conformité.

1) L’exigence d’un examen sans exception

Tout signal produit par le dispositif de surveillance appelle un examen. La règle ne souffre pas d’exception de principe, et elle se comprend aisément : une alerte non ouverte est, du point de vue de l’organisme, indiscernable d’une alerte qui aurait révélé une opération de blanchiment. L’assujetti qui laisse un signal en suspens ne fait pas un pari sur son caractère anodin — il renonce à savoir. C’est pourquoi la Commission des sanctions ne se laisse pas convaincre par la démonstration, souvent tentée, selon laquelle les alertes non traitées auraient de toute façon été classées : l’argument suppose acquis ce que l’examen seul aurait pu établir.

Encore faut-il s’entendre sur ce que recouvre l’examen. Ouvrir un dossier, y apposer une mention et le refermer ne satisfait pas à l’obligation. La Commission des sanctions l’a jugé avec une netteté peu commune dans sa décision n° 2016-09 du 30 juin 2017 à l’égard de la caisse régionale de Crédit agricole mutuel concernée : sur les 5 134 alertes produites en 2014 par l’outil de détection, 1 250 avaient été clôturées sans justification valable, sous des mentions telles que « ras », « aucun commentaire », voire la formule vide « fermeture de l’alerte pour la raison suivante » — la raison, précisément, n’étant jamais énoncée. D’autres commentaires, quoique plus fournis, ne valaient pas davantage analyse : mentionner qu’un client exerce une activité de restauration rapide, ou qu’un commerçant accepte des paiements en espèces au-delà du plafond légal « d’où les plusieurs versements », c’est décrire le fait générateur de l’alerte, non le justifier.

2) La confrontation au profil de la relation

L’examen a un objet déterminé, et cet objet commande sa méthode. Il ne s’agit pas de rechercher si l’opération est licite dans l’absolu — l’organisme n’en a ni les moyens ni le mandat —, mais de vérifier si elle s’inscrit dans la logique du profil établi pour ce client. L’atypie n’est jamais une propriété intrinsèque de la transaction : elle est un écart, et un écart se mesure toujours par rapport à une référence. Un virement de cent mille euros vers un compte étranger ne dit rien par lui-même ; il dit beaucoup s’il émane d’un client dont les revenus déclarés sont modestes et dont le compte n’avait jamais connu de flux international.

Il en résulte que l’analyste doit accéder à la matière de cette comparaison, et l’article R. 561-38-1 du Code monétaire et financier lui en ouvre le droit. Concrètement, les éléments utiles couvrent la fiche client dans sa version actualisée, l’historique des opérations de la relation — au premier rang desquelles celles ayant déjà déclenché un signal —, ainsi que les examens renforcés et les déclarations antérieurement adressées à Tracfin ; le tout, naturellement, dans les limites du niveau d’habilitation de chaque collaborateur et sous la réserve du secret professionnel. Cette dernière précision n’est pas une concession de pure forme : elle signifie qu’un organisme ne peut se retrancher derrière un cloisonnement interne pour priver ses analystes de l’information dont dépend leur mission. La doctrine administrative de l’ACPR insiste d’ailleurs sur ce point dans ses lignes directrices relatives au pilotage consolidé des groupes, en soulignant que les informations nominatives nécessaires à la vigilance doivent circuler au sein du groupe selon les modalités de l’article R. 561-29.

La confrontation joue dans les deux sens. Si le profil éclaire l’opération, l’opération à son tour éclaire le profil : les lignes directrices conjointes de l’ACPR et de Tracfin rappellent que le profil de la relation d’affaires n’est pas un état figé mais une donnée vivante, susceptible d’être révisée à la hausse lorsque le soupçon se confirme, comme à la baisse lorsque l’analyse révèle que le risque avait été surévalué. L’alerte traitée nourrit ainsi la connaissance du client, qui affinera le traitement des alertes suivantes — boucle vertueuse qu’un classement sans analyse interrompt purement et simplement.

3) La traçabilité de la décision retenue

L’analyse doit être documentée, et cette exigence est autonome : elle ne se confond pas avec celle d’analyser. Un organisme peut avoir correctement raisonné et néanmoins manquer à ses obligations, faute d’avoir conservé la trace de son raisonnement. La raison en est simple — le contrôle, qu’il soit interne ou opéré par le superviseur, intervient nécessairement après coup, et il ne peut porter que sur ce qui subsiste. Ce qui n’a pas été écrit n’a, pour lui, pas eu lieu.

La documentation doit donc porter sur les éléments recueillis, sur la comparaison opérée et sur le motif de la décision retenue, de manière qu’un tiers puisse, plusieurs mois plus tard, refaire le chemin et en apprécier le bien-fondé. C’est cette exigence, davantage que celle de l’analyse elle-même, qui distingue un dispositif solide d’un dispositif de façade — et c’est elle que la Commission des sanctions vérifie en premier lieu lorsqu’elle procède à l’examen d’un échantillon de dossiers individuels.

B) L’issue de l’examen

L’analyse achevée, il faut conclure. Le droit ne laisse ici qu’un jeu de trois issues, et chacune obéit à ses propres conditions.

1) Le classement motivé de l’alerte

Lorsque les informations disponibles sur le client dissipent l’interrogation de manière convaincante, le dossier est clos. Cette issue est parfaitement légitime — elle est même, en volume, la plus fréquente, et un dispositif dont toutes les alertes déboucheraient sur une déclaration serait aussi défaillant qu’un dispositif qui n’en déclarerait aucune. Mais le classement doit être motivé, et cette motivation doit survivre à la clôture : l’organisme conserve l’intégralité de la documentation qui a fondé sa décision, de façon à pouvoir en justifier le bien-fondé si une vérification ultérieure le lui demande. Le classement, en d’autres termes, n’est pas l’abandon du dossier ; c’est une décision, et comme toute décision, elle se motive et s’archive.

2) Le passage à l’examen renforcé

Si l’opération demeure inexpliquée, ou si son explication laisse subsister un doute sur sa licéité, l’organisme procède à l’examen renforcé prévu au II de l’article L. 561-10-2. Ce basculement change la nature de la démarche : il ne s’agit plus de confronter l’opération au dossier existant, mais d’aller chercher au dehors ce que le dossier ne contient pas — l’origine des fonds, leur destination, la finalité de l’opération, et les justificatifs qui les établissent.

C’est précisément sur ce point que la Commission des sanctions s’est montrée exigeante dans sa décision n° 2024-06 du 19 mars 2026 à l’égard de MoneyGram International SA. L’établissement disposait de deux dispositifs, l’un déclenché par les alertes automatisées ou manuelles, l’autre appliqué aux clients classés à risque élevé ; la Commission a jugé qu’aucun des deux ne satisfaisait à l’obligation d’examen renforcé, pour une raison tenant à leur méthode même : ni l’un ni l’autre ne comportait de demande de pièces justificatives au client, l’analyse se bornant aux seuls éléments déclaratifs déjà détenus. Aucun des dossiers individuels examinés par la mission de contrôle ne révélait la moindre sollicitation d’information complémentaire. La leçon vaut d’être retenue : un examen renforcé qui n’interroge pas le client n’est pas un examen renforcé, quel que soit le nom qu’on lui donne dans les procédures internes.

Le droit de l’Union confirmera cette lecture et lui donnera un fondement directement applicable. L’article 34 du règlement (UE) 2024/1624, adopté le 31 mai 2024, prescrira aux entités assujetties d’examiner l’origine et la destination des fonds ainsi que la finalité de la transaction dès lors que celle-ci présente un caractère complexe ou que son montant excède certains seuils. Ce texte n’est pas encore en vigueur : son article 90 en fixe l’application au 10 juillet 2027, et au 10 juillet 2029 pour les entités visées à son article 3, points 3) n) et o). D’ici là, c’est l’article L. 561-10-2 qui gouverne la matière.

3) La déclaration au service de renseignement financier

Lorsque l’examen renforcé fait naître un soupçon, la déclaration à Tracfin s’impose dans les conditions de l’article L. 561-15. Le passage de l’un à l’autre n’est pas mécanique : le soupçon n’est ni la certitude, qui n’est jamais exigée, ni la simple curiosité, qui ne suffit pas. Il naît de l’impossibilité, après investigation, d’écarter l’hypothèse que les sommes proviennent d’une infraction ou concourent au financement du terrorisme.

Une précision s’impose ici, que la pratique confond volontiers : la déclaration de soupçon n’a rien à voir avec l’alerte issue d’un dispositif de gel des avoirs, laquelle relève d’un régime distinct. Les lignes directrices conjointes de la direction générale du Trésor et de l’ACPR indiquent qu’une alerte de filtrage qui ne peut être levée donne lieu à une déclaration d’homonymie adressée à cette direction, accompagnée des éléments d’analyse et de la trace des recherches menées. Les deux voies peuvent toutefois se croiser : lorsque l’organisme soupçonne qu’une opération vise à contourner une mesure restrictive — délit douanier au sens de l’article 459 du code des douanes, abrogé le 1er mai 2026 —, la doctrine administrative lui commande de déclarer à Tracfin en parallèle de l’information transmise au Trésor.

C) Les délais de traitement

Reste la dimension temporelle, qui est en pratique le lieu du contentieux le plus nourri. Car le manquement, ici, ne consiste pas à décider mal : il consiste à ne pas décider.

1) La latitude de hiérarchisation des alertes

L’organisme conserve la latitude de hiérarchiser l’ordre de traitement des signaux. Rien ne lui impose la stricte chronologie, et il peut légitimement mettre en place des mécanismes de triage — fondés, par exemple, sur un score de risque combinant la nature du scénario déclenché, le profil du client et le montant en cause. Cette latitude est de bonne administration : traiter d’abord les alertes les plus porteuses est plus protecteur que les traiter dans l’ordre où elles sont tombées.

Elle connaît pourtant deux bornes, et elles sont fermes. La première tient à l’exhaustivité : la priorisation ordonne le traitement, elle ne le supprime pas. Tous les dossiers doivent être examinés, y compris ceux que le score relègue en fin de file. La seconde tient au délai : l’examen doit intervenir dans un délai raisonnable, et les diligences requises être conduites avec la célérité nécessaire. Un score de risque qui aurait pour effet pratique de renvoyer certaines alertes à un traitement indéfiniment différé ne serait pas un outil de priorisation, mais un mécanisme d’abandon déguisé.

2) L’exigence de célérité de l’analyse

Aucun texte ne fixe de délai chiffré pour le traitement d’une alerte, et cette absence a nourri bien des argumentations en défense. La Commission des sanctions y a répondu avec une rigueur qui vaut règle, dans sa décision n° 2024-02 du 19 juin 2025 à l’égard de la banque Delubac et Cie : si l’article 4 de l’arrêté du 6 janvier 2021 ne fixe pas de délai, ses dispositions ne peuvent être lues par un professionnel avisé et de bonne foi qu’en fonction de leur objet. Or cet objet est la détection de flux illicites en vue d’une transmission utile à Tracfin — finalité que le temps ruine. Au moment du contrôle, un quart des alertes non encore traitées avaient été déclenchées plus de quatre mois auparavant ; l’établissement ne le contestait pas.

Le raisonnement est le même que celui qui régit le délai de déclaration. La décision du 17 avril 2018 à l’égard de la Caisse fédérale du Crédit mutuel Nord Europe (n° 2017-05) sanctionnait déjà des délais de transmission excessifs, imputables pour l’essentiel à la lenteur du traitement des pré-déclarations : sur trente-six déclarations adressées à Tracfin en juin 2015 pour un pôle d’activité, dix-neuf avaient été envoyées dans un délai que les diligences accomplies ne justifiaient pas. La chaîne entière est ainsi tenue par une même exigence — le renseignement financier ne vaut que s’il arrive à temps.

La même logique gouverne, au demeurant, les délais que s’impose l’organisme pour corriger ses propres défaillances. La décision n° 2024-01 du 7 novembre 2025 à l’égard de la Banque Chaabi du Maroc en offre l’illustration inverse et éclairante : la Commission y a écarté un grief en tenant compte de ce qu’une procédure de vérification supposant des développements informatiques ne pouvait matériellement être déployée dans le court laps de temps séparant la décision de remédiation du rapport de contrôle. Le caractère raisonnable du délai s’apprécie donc au regard de ce qui était possible — mais encore faut-il, pour s’en prévaloir, avoir décidé et engagé la remédiation.

3) Le sort des stocks d’alertes accumulés

Le stock d’alertes en attente est le symptôme le plus lisible d’un dispositif en souffrance, et c’est à ce titre qu’il figure au premier rang des indicateurs de pilotage. Son volume, mais surtout son ancienneté, révèlent ce que les compteurs de production dissimulent.

Ces indicateurs se lisent ensemble, et chacun s’interprète dans les deux sens. Une baisse marquée du nombre d’alertes par scénario peut signaler l’indisponibilité de l’outil, une erreur de paramétrage ou un resserrement excessif des critères ; une hausse du volume total peut trahir un défaut de calibrage aussi bien qu’une élévation réelle du risque porté par le portefeuille. Un délai moyen de traitement en croissance continue désigne presque toujours une insuffisance des effectifs affectés à l’analyse. Aucun de ces chiffres ne vaut diagnostic à lui seul : leur fonction est d’ouvrir une question, non de la clore.

Quant au stock lui-même, sa résorption ne saurait s’opérer par un classement en masse. La tentation existe pourtant, et elle est d’autant plus forte que l’organisme sait le contrôle prochain — c’est précisément le mécanisme qui a produit les mille deux cent cinquante clôtures non motivées de l’espèce de 2016 rappelée plus haut. Le stock ancien se traite, dossier par dossier, ou il demeure ; il ne s’efface pas.

D) Les moyens affectés à l’analyse

Les manquements qui précèdent ont presque tous la même cause matérielle. Un stock d’alertes ne s’accumule pas par négligence individuelle : il s’accumule parce que le flux entrant excède durablement la capacité de traitement.

1) L’adéquation des effectifs au volume

L’efficacité du traitement repose sur un équilibre entre le flux de signaux et les ressources humaines mobilisées pour les examiner. Cet équilibre est une obligation, non une donnée : l’organisme qui accroît son volume d’affaires, élargit sa gamme ou affine ses scénarios de détection augmente mécaniquement le nombre d’alertes produites, et il lui appartient d’ajuster ses moyens en conséquence. Un sous-dimensionnement — en nombre comme en qualification — provoque l’accumulation des dossiers en attente et des retards contraires aux impératifs de diligence, lesquels constituent un manquement disciplinaire susceptible d’être sanctionné par l’ACPR. L’argument tiré de la contrainte budgétaire n’a jamais prospéré devant la Commission des sanctions, et l’on comprend pourquoi : il reviendrait à faire dépendre l’effectivité d’une obligation légale de l’arbitrage économique de celui qui y est tenu.

2) La compétence et l’indépendance des analystes

Le nombre ne suffit pas : encore faut-il que les analystes disposent de la compétence nécessaire et de la distance qui leur permet de l’exercer. La compétence s’entend d’une connaissance des typologies de blanchiment, des activités et des marchés servis par l’organisme, et des exigences propres à la rédaction d’une déclaration de soupçon utile. La distance, elle, tient à la position de la fonction dans l’organisation : l’analyste ne doit pas dépendre, pour son appréciation, de ceux dont l’intérêt est de conserver la relation d’affaires. La décision précitée à l’égard de la banque Delubac et Cie éclaire ce risque — la Commission y relève que le contrôle mensuel exercé par la fonction conformité sur les décisions des directions commerciales ne portait que sur une fraction de ces décisions, ce qui ne pouvait pallier la carence constatée dans l’accomplissement des examens renforcés et des déclarations.

3) L’externalisation de la première analyse

Reste l’hypothèse, fréquente dans les groupes internationaux, où la première analyse est confiée à une entité tierce ou à un centre de services situé à l’étranger. Rien ne l’interdit, mais l’externalisation ne déplace pas la responsabilité : elle la laisse là où la loi l’a mise, sur l’assujetti. Celui-ci doit donc anticiper les difficultés propres à cette organisation — la barrière linguistique, la connaissance imparfaite du cadre réglementaire français, la perception atténuée des risques spécifiques au marché national — et déployer les correctifs appropriés. La décision rendue à l’égard de MoneyGram International SA en fournit encore l’illustration, la Commission ayant relevé que les analyses étaient effectuées par du personnel localisé hors de France, circonstance qui n’atténuait en rien la carence systémique constatée dans le traitement des alertes. Ce qui est délégué, c’est l’exécution matérielle d’une tâche ; jamais l’obligation elle-même, ni le contrôle de la manière dont elle est accomplie.

IV) Le contrôle et la sanction du dispositif

Un dispositif de détection ne vaut jamais par sa conception seule : il vaut par la preuve, sans cesse renouvelée, qu’il fonctionne. Les scénarios les mieux calibrés se périment, les alertes les mieux analysées se banalisent, les moyens les mieux dimensionnés se laissent distancer par la croissance du portefeuille. C’est pourquoi la chaîne qui vient d’être décrite — classification, paramétrage, détection, traitement — se referme sur un dernier maillon qui la surplombe et la corrige : le contrôle. Celui-ci se déploie sur deux plans, l’un interne, l’autre externe, et il débouche, lorsqu’il révèle une carence, sur un régime de responsabilités dont l’expérience montre qu’il est loin d’être théorique.

A) Les niveaux de contrôle interne

L’article L. 561-32 du Code monétaire et financier, en imposant une organisation et des procédures internes, n’a pas seulement voulu que l’assujetti se dote d’un dispositif : il a voulu qu’il se dote des moyens d’en vérifier lui-même l’efficacité. L’article R. 561-38-3 précise cette exigence en imposant des procédures de contrôle permanent et de contrôle périodique des risques de blanchiment, et l’article 13 de l’arrêté du 6 janvier 2021 l’étend expressément à la chaîne automatisée de détection. De cette combinaison naît une architecture à trois étages, familière aux praticiens du contrôle interne bancaire, mais dont la déclinaison à la matière qui nous occupe présente des exigences propres.

1) Le contrôle opérationnel de premier niveau

Le premier niveau n’est pas un contrôle qui s’ajoute au traitement : c’est le traitement lui-même, exercé avec la rigueur que les procédures prescrivent. Il incombe aux fonctions opérationnelles — analystes d’alertes, correspondants et déclarants Tracfin, responsables d’unité — et il porte sur trois objets indissociables : que chaque alerte ait effectivement été instruite, que l’analyse conduite soit documentée dans des termes qui permettent à un tiers de la comprendre, et que les procédures internes aient été suivies. Sa fréquence est celle de l’activité elle-même : quotidienne, continue, intégrée au geste professionnel.

Encore faut-il ne pas se méprendre sur sa nature. Le contrôle de premier niveau est autocontrôle : celui qui le pratique juge son propre ouvrage, ou celui de son équipe. Il détecte l’erreur d’exécution, non le vice de conception. Un analyste qui applique scrupuleusement une grille d’analyse mal conçue produira des dossiers irréprochables au regard de la procédure et pourtant sans valeur au regard du risque. C’est précisément cette limite qui commande l’existence du deuxième niveau.

2) Le contrôle permanent de la conformité

Le contrôle de deuxième niveau est confié à une fonction de contrôle des risques indépendante des unités qu’elle contrôle, et cette indépendance n’est pas une commodité d’organigramme : elle est la condition de la valeur du contrôle. Son objet diffère radicalement de celui du premier niveau, car il ne porte plus sur l’exécution mais sur la pertinence — pertinence du paramétrage, cohérence des indicateurs de performance, adéquation des moyens humains au volume d’alertes produit. Sa périodicité est trimestrielle ou semestrielle selon la taille de l’entité et l’intensité des risques auxquels elle est exposée.

La Commission des sanctions a eu l’occasion de préciser ce que ce contrôle n’est pas. Dans sa décision n° 2022-06 du 13 novembre 2023 à l’égard de la Mutuelle de Poitiers Assurances, elle a jugé insuffisant un contrôle de deuxième niveau qui se bornait à vérifier que les contrôles de premier niveau avaient bien été exécutés : un tel contrôle constate la réalisation d’une tâche, il n’en éprouve pas la qualité. L’organisme s’était ainsi trouvé dans l’impossibilité de déceler les défaillances de son dispositif ni les lacunes des bases de données qui l’alimentaient — et l’argument tiré de la relation de proximité entretenue avec les sociétaires n’a pas été retenu comme dispensant d’un contrôle véritable. La leçon est nette : le deuxième niveau ne contrôle pas que le premier a travaillé, il contrôle que ce travail avait un sens.

La décision n° 2024-01 du 7 novembre 2025 à l’égard de la Banque Chaabi du Maroc en éclaire un autre aspect, celui de l’organisation en filière. L’établissement avait réparti le contrôle de deuxième niveau entre la direction de la conformité de son siège et les responsables de la conformité des succursales. La Commission a considéré qu’un tel choix d’organisation ne dispensait pas le siège de garantir la sécurité et la fiabilité du contrôle exercé dans les succursales, ni ne l’empêchait de conduire lui-même des contrôles sur place. Déléguer l’exécution d’un contrôle n’a jamais transféré la charge d’en répondre.

3) Le contrôle périodique de l’audit interne

Le troisième niveau est celui de l’audit interne, qui intervient selon un plan pluriannuel ou à un rythme annuel. Son regard est le plus distant, et c’est ce qui fait son utilité : il n’apprécie ni l’exécution ni le paramétrage pris isolément, mais la conformité globale de l’architecture — y compris l’efficacité du contrôle de deuxième niveau lui-même. Un audit qui ne remonterait pas jusqu’à évaluer le contrôleur manquerait la moitié de son objet.

Ses recommandations n’ont d’intérêt que si elles sont suivies d’effet, et ce point est celui sur lequel la Commission des sanctions se montre la plus sévère. Dans sa décision n° 2013-07 du 11 février 2015 à l’égard de State Bank of India, elle a relevé que des observations formulées depuis plusieurs années par le superviseur étaient demeurées sans suite à la date de la dernière mission de contrôle, certaines carences durant depuis cinq ans au moins. Une recommandation non exécutée n’est pas un travail inachevé : c’est un manquement caractérisé, aggravé par la connaissance qu’en avait l’établissement. La décision n° 2012-08 du 2 décembre 2013 à l’égard de la Banque Chaâbi du Maroc va dans le même sens en sanctionnant l’insuffisance des moyens affectés aux contrôles permanent et périodique — car un contrôle sous-doté n’est pas un contrôle allégé, c’est un contrôle qui ne peut pas conclure.

Au-delà des trois niveaux, le contrôle interne poursuit deux finalités qu’il importe de distinguer. La première est technique : s’assurer que la chaîne automatisée fonctionne de manière continue et fiable, qu’aucun flux n’échappe à l’outil du fait d’une rupture d’alimentation, qu’aucun scénario ne s’est éteint silencieusement à la faveur d’une migration informatique. La seconde est substantielle : évaluer la justesse des critères retenus et la cohérence des suites données aux alertes — classement, examen renforcé ou saisine de Tracfin. Lorsqu’un incident ou un défaut est identifié, la remédiation doit être engagée sans délai, et l’expérience des contrôles montre que la date à laquelle un établissement a eu connaissance d’une faille pèse lourdement dans l’appréciation de sa diligence.

B) La révision continue des scénarios

Le contrôle interne serait un exercice stérile s’il ne débouchait sur l’adaptation de l’outil qu’il examine. Un dispositif de détection n’est jamais achevé : il décrit un état du risque à un instant donné, et cet état se déforme continûment sous l’effet de l’innovation commerciale, du déplacement des flux criminels et de la sophistication des schémas de dissimulation. La révision des scénarios n’est donc pas une opération de maintenance, c’est la respiration du dispositif.

1) Les circonstances commandant une révision

Plusieurs circonstances imposent de créer un scénario nouveau ou de reprendre un scénario existant. Le lancement d’une offre commerciale inédite ou l’ouverture d’un canal de distribution nouveau en est la première : un produit que l’outil ne connaît pas produit des flux qu’il ne sait pas lire. Une réorientation stratégique qui modifie la composition du portefeuille clients en est la deuxième, car les seuils calibrés sur une clientèle de particuliers perdent tout pouvoir discriminant lorsque l’établissement se tourne vers les professionnels. L’émergence de typologies frauduleuses jusqu’alors inconnues en est la troisième, et c’est celle qui commande la veille la plus attentive. Les insuffisances relevées à l’occasion d’un contrôle interne ou d’un audit en constituent la quatrième.

La cinquième est la plus révélatrice, car elle est un aveu. Lorsqu’une opération suspecte a été portée à la connaissance de l’organisme par une voie autre que son outil — la perspicacité d’un collaborateur au guichet, un droit de communication exercé par Tracfin, une réquisition judiciaire, voire un article de presse — alors que cette opération relevait pleinement du périmètre de la détection automatisée, il est démontré que le dispositif a laissé passer ce qu’il était censé saisir. Ce constat vaut mieux que tout indicateur : il désigne une lacune établie, non une lacune supposée. Les lignes directrices conjointes de l’ACPR et de Tracfin invitent expressément à revoir les paramètres en cas de modification ou d’évolution de la classification des risques, et les principes d’application sectoriels du secteur de l’assurance rappellent dans le même esprit que la classification doit être mise à jour dès la connaissance d’un événement susceptible de modifier significativement l’appréciation du niveau de risque.

2) Les tests de pertinence et de complétude

Aucun paramétrage ne se déploie à l’aveugle. La doctrine administrative de l’ACPR et de Tracfin est explicite sur ce point : pour garantir l’efficacité du dispositif, les organismes financiers veillent à ce que les paramètres soient éprouvés avant leur mise en place par des tests de pertinence et de volumétrie. Les deux tests répondent à des questions différentes et sont également nécessaires. Le test de pertinence demande si le scénario capte bien ce qu’il vise, et il se conduit en le rejouant sur un historique de transactions dont on sait, par les déclarations passées, lesquelles méritaient d’être signalées. Le test de volumétrie demande combien d’alertes le scénario produira — question dont on a vu au titre précédent qu’elle est décisive, puisqu’un scénario qui submerge les analystes détruit la qualité de l’analyse qu’il devait rendre possible.

À ces deux tests s’ajoute une exigence de complétude, qui est d’une autre nature. Il ne s’agit plus d’éprouver un scénario mais de vérifier que l’ensemble des scénarios couvre l’ensemble du périmètre : tous les clients, tous les flux, y compris les opérations occasionnelles, y compris les segments réputés à faible risque. La liste de vérification qui suit récapitule les exigences que le paramétrage doit satisfaire et que le contrôle doit reprendre une à une.

3) Le suivi des indicateurs de performance

Entre deux révisions, le dispositif se surveille par des métriques qualitatives et quantitatives dont l’objet est de révéler la dérive avant qu’elle ne devienne une carence. Trois d’entre elles méritent qu’on s’y arrête, parce qu’elles se lisent à contresens de l’intuition.

La contribution de chaque scénario au volume global d’alertes est la première. Un scénario qui n’a jamais rien produit n’est pas un scénario efficace parce qu’il n’y aurait rien à trouver : c’est, le plus souvent, un scénario mort — désactivé par erreur, privé de sa source de données, ou calibré si haut qu’aucune opération réelle ne l’atteindra jamais. À l’inverse, un scénario qui concentre à lui seul l’essentiel des alertes signale un seuil trop lâche et sature la capacité d’analyse au détriment de tous les autres.

Le nombre de transactions qui demeurent immédiatement sous les seuils fixés est la deuxième, et c’est la plus subtile. Une accumulation anormale d’opérations qui frôlent le seuil sans jamais le franchir est le signe d’un paramétrage excessivement restrictif — ou, ce qui est plus inquiétant, celui d’un fractionnement délibéré par des clients qui ont deviné où l’alerte se déclenche. Cet indicateur mesure ce que l’outil ne voit pas, ce qui en fait un instrument précieux et rare : la plupart des métriques ne renseignent que sur ce qu’il a vu.

Le ratio de transformation des alertes en déclarations transmises à Tracfin est la troisième. Il se lit avec prudence, car il n’existe pas de valeur cible : un ratio très faible suggère un bruit excessif, un ratio très élevé peut trahir un filet trop grossier qui ne capte que l’évidence. Il vaut par sa variation dans le temps et par sa comparaison entre scénarios, jamais par sa valeur absolue — et un établissement qui le piloterait comme un objectif s’exposerait à voir ses analystes ajuster leurs conclusions au chiffre attendu.

C) Le contrôle du superviseur

Le contrôle interne, si bien conçu soit-il, demeure le contrôle que l’assujetti exerce sur lui-même. Il ne se substitue pas au regard extérieur de l’autorité de supervision, qui dispose de pouvoirs propres et d’une grille d’appréciation dont les décisions de sa Commission des sanctions révèlent la constance.

1) Les pouvoirs de vérification de l’autorité

L’Autorité de contrôle prudentiel et de résolution vérifie le respect des obligations de lutte contre le blanchiment par des contrôles sur pièces et par des missions sur place. Ces dernières donnent lieu à un rapport définitif signé du chef de mission, sur le fondement duquel le Collège de l’autorité décide, s’il y a lieu, d’ouvrir une procédure disciplinaire devant la Commission des sanctions. La méthode du contrôle mérite d’être connue, car elle conditionne la manière dont un établissement doit se préparer : la mission travaille par sondage sur des échantillons de dossiers, dont elle extrapole ce qu’elle observe. Un échantillon défaillant ne vaut pas comme anecdote, il vaut comme indice d’une pratique.

Un mouvement de fond est cependant à l’œuvre. Le règlement (UE) 2024/1620 a institué une Autorité de lutte contre le blanchiment dotée de pouvoirs propres, dont l’article 11, applicable depuis le 1^er juillet 2025, prévoit la création d’une base de données centrale alimentée par les informations recueillies auprès des autorités de surveillance nationales et mise à leur disposition. Autrement dit, les constats opérés lors d’un contrôle national ont désormais vocation à circuler dans un espace de supervision européen. La directive (UE) 2024/1640, quant à elle, imposera aux États membres d’établir un régime de sanctions pécuniaires et de mesures administratives sanctionnant les manquements au règlement (UE) 2024/1624, son article 53 réservant expressément le droit des États de prévoir en outre des sanctions pénales ; elle doit être transposée au plus tard le 10 juillet 2027.

La comparaison des deux états du droit sur le terrain des contrôles internes se laisse résumer ainsi.

L’entrée en application du règlement (UE) 2024/1624 est fixée au 10 juillet 2027 par son article 90, sous réserve des entités visées à son article 3, points 3) n) et o), pour lesquelles elle est reportée au 10 juillet 2029. Jusqu’à ces échéances, c’est le Code monétaire et financier qui gouverne la matière — et un établissement qui anticiperait le futur régime au détriment du droit présentement applicable commettrait une erreur de méthode dont la Commission des sanctions n’aurait pas à connaître les intentions.

2) L’appréciation des carences constatées

Toute carence n’appelle pas la même réponse, et la lecture des décisions rendues révèle une méthode. La Commission apprécie d’abord la gravité intrinsèque du manquement, puis sa durée — une insuffisance ancienne et connue pèse plus lourd qu’une défaillance ponctuelle —, puis l’attitude de l’établissement mis en cause. Sur ce dernier point, la décision n° 2012-08 du 2 décembre 2013 à l’égard de la Banque Chaâbi du Maroc est éclairante : après avoir retenu que la connaissance de la clientèle était lacunaire, que des relations d’affaires avaient été analysées à tort comme des clients occasionnels, que l’établissement s’était trouvé démuni pour détecter les personnes politiquement exposées et que les moyens affectés aux contrôles étaient insuffisants, la Commission a néanmoins tenu compte de la prise de conscience manifestée par l’établissement. De même, la décision n° 2020-04 du 3 juin 2021 à l’égard d’une caisse de crédit municipal fait état des actions de remédiation engagées — refonte de la charte de contrôle interne, renforcement des moyens humains, révision achevée de la classification des risques et diffusion d’études de contrôle de premier et de second niveau — sans que ces mesures fassent obstacle au constat que le dispositif de contrôle permanent n’était pas adapté à la taille et aux missions de l’entité. Une remédiation atténue, elle n’efface pas.

3) Les griefs récurrents de la Commission des sanctions

Une lecture d’ensemble des décisions rendues fait apparaître une constellation de griefs qui se répètent avec une régularité frappante, et dont la connaissance vaut mieux que bien des recommandations. Le premier tient à l’insuffisance des moyens : humains, lorsque le volume d’alertes excède manifestement la capacité des équipes chargées de les instruire — les lignes directrices conjointes de l’ACPR et de Tracfin en font une obligation expresse, l’organisme devant s’assurer de l’adéquation entre le flux d’alertes et les effectifs qui y sont affectés ; matériels et documentaires, lorsque les analystes n’ont pas accès à l’ensemble des informations nécessaires à leur mission, accès que l’article R. 561-38-1 leur garantit.

Le deuxième grief récurrent est le contrôle de deuxième niveau réduit à la vérification formelle du premier, dont on a vu qu’il avait été sanctionné en 2023. Le troisième est le défaut de suite donnée aux constats du superviseur, sanctionné en 2015 à l’égard d’un établissement dont certaines carences duraient depuis cinq ans. Le quatrième, plus insidieux, tient à la procédure non diffusée : la décision n° 2011-03 du 27 novembre 2012 à l’égard de Bank Tejarat Paris retient qu’un manuel de procédures relatif à la lutte contre le blanchiment qui n’a pas été porté à la connaissance du personnel concerné, et qui n’est pas appliqué, ne satisfait pas à l’obligation d’élaborer et de tenir à jour de telles procédures — leur existence formelle ne suffisant pas. Le cinquième, enfin, est la carence de la piste d’audit : un dispositif dont les décisions ne sont pas reconstituables est un dispositif dont l’assujetti ne peut prouver le bon fonctionnement, et la charge de cette preuve lui incombe. La décision n° 2013-06 du 26 janvier 2015 à l’égard de Bank of Africa France rappelle enfin que ces griefs ne s’apprécient pas dans l’abstrait mais au regard de la structure réelle de l’établissement — la taille du réseau, la nature de la clientèle, les canaux exploités —, ce qui interdit autant l’indulgence pour les petites structures que la sévérité mécanique pour les grandes.

La décision n° 2013-04 du 11 avril 2014 à l’égard de la Société Générale enseigne pour sa part une chose plus générale : les griefs qui fondent une sanction disciplinaire ne se cumulent pas arithmétiquement, la Commission écartant ceux qui ne sauraient y contribuer et pesant les autres selon leur portée réelle sur la protection des intérêts que la réglementation entend garantir.

D) Les responsabilités encourues

Le manquement aux obligations de détection engage l’assujetti sur trois terrains distincts, dont les logiques ne se recouvrent pas et dont le cumul est concevable.

1) La sanction disciplinaire et pécuniaire

La voie disciplinaire est de loin la plus fréquente, et c’est elle qui constitue la jurisprudence réelle de la matière. La Commission des sanctions dispose d’une échelle qui va de l’avertissement au retrait d’agrément, en passant par le blâme et l’interdiction d’exercer certaines activités, et elle peut assortir toute sanction disciplinaire d’une sanction pécuniaire dont le montant se mesure à la gravité des manquements et à la situation de l’établissement. La publication de la décision, en principe nominative, ajoute à la sanction une dimension réputationnelle que les établissements redoutent souvent davantage que l’amende — et l’on relèvera que la décision n° 2020-04 a précisément été rendue à l’égard d’une caisse de crédit municipal anonymisée, ce qui montre que la publication sous forme non nominative demeure possible.

La responsabilité disciplinaire ne s’arrête pas à la personne morale. Le dirigeant désigné comme responsable de la mise en œuvre du dispositif prévu à l’article L. 561-32 — désignation que les principes d’application sectoriels de l’ACPR rappellent comme une obligation de l’article R. 561-38 — peut être personnellement mis en cause, ainsi que l’atteste la décision n° 2011-03 du 27 novembre 2012, rendue à l’égard de Bank Tejarat Paris et de son dirigeant. Le rôle du dirigeant responsable, évoqué au titre de la gouvernance, trouve ici sa sanction.

2) La responsabilité pénale pour blanchiment

La voie pénale est d’une tout autre nature, et il importe de ne pas la confondre avec la précédente. L’assujetti qui a manqué à sa vigilance n’est pas, de ce seul fait, coupable de blanchiment : l’infraction suppose un élément intentionnel, la connaissance de l’origine délictueuse des fonds ou, à tout le moins, celle des circonstances qui la révélaient. Mais la frontière entre la négligence et la complicité par abstention est plus mince qu’il n’y paraît. Un établissement qui, alerté par ses propres outils, classe l’alerte sans examen et poursuit la relation d’affaires s’expose à ce que le juge pénal voie dans ce classement autre chose qu’une maladresse. Les décisions disciplinaires sont d’ailleurs susceptibles d’être versées au dossier pénal, où elles constituent des éléments de fait dont le juge apprécie librement la portée.

Il faut ajouter que le paquet européen de 2024 ne modifie pas cet équilibre : l’article 53 de la directive (UE) 2024/1640, en établissant un régime de sanctions administratives, réserve expressément le droit des États membres de prévoir et d’imposer des sanctions pénales. Les deux voies demeureront distinctes et cumulables dans les limites que le principe de proportionnalité impose.

3) La responsabilité civile envers les tiers

La troisième voie est la moins explorée et sans doute la plus prometteuse pour l’avenir. La victime d’une escroquerie dont les fonds ont transité par un compte que l’établissement aurait dû surveiller peut rechercher la responsabilité civile de celui-ci, sur le fondement du droit commun. La difficulté n’est pas dans la faute — le manquement à une obligation réglementaire de vigilance se démontre aisément lorsqu’un contrôle l’a déjà constaté — mais dans le lien de causalité, qu’il faut établir entre l’abstention de l’établissement et le dommage subi. Encore faut-il compter avec l’obstacle du secret de la déclaration de soupçon, qui interdit à l’assujetti de révéler qu’il a ou n’a pas déclaré, et prive donc le demandeur d’un élément décisif de sa démonstration.

L’articulation avec le devoir de non-ingérence mérite d’être rappelée, car elle est souvent invoquée en défense : le banquier n’a pas à s’immiscer dans les affaires de son client. Cette règle, dont la Cour de cassation fait application dans le contentieux de la responsabilité bancaire évoqué plus haut, ne fait pourtant pas écran à l’obligation de vigilance, laquelle est d’ordre public et procède d’un impératif de police économique étranger à la protection des intérêts du client. Le devoir de non-ingérence protège l’autonomie du client dans ses choix économiques ; il n’a jamais autorisé l’aveuglement devant l’anomalie.

Au terme de ce parcours, une conclusion s’impose, et elle tient dans une image. La détection et l’analyse des opérations atypiques forment une chaîne dont aucun maillon ne supporte d’être négligé, parce que la résistance de l’ensemble est celle du maillon le plus faible. La classification des risques en constitue la fondation, puisque tout ce qui vient ensuite s’y appuie : un paramétrage juste bâti sur une cartographie fausse produira des alertes justes au regard d’un risque mal décrit. Le paramétrage des outils traduit cette classification en règles opérantes. La vigilance du personnel supplée ce que l’automate ne sait pas voir. Le traitement documenté des alertes transforme un signal en décision. Le contrôle interne éprouve l’ensemble et commande sa correction. Chacune de ces composantes doit être conçue, déployée et vérifiée avec la rigueur qu’appelle la prévention du blanchiment des capitaux et du financement du terrorisme — et l’organisme qui s’y dérobe ne s’expose pas à un risque théorique, mais à une sanction dont la Commission des sanctions de l’ACPR démontre, décision après décision, qu’elle sait être exigeante.