PSAN – CiD Consulting

Analyse sectorielle AMF des risques de blanchiment de capitaux et de financement du terrorisme (LCB-FT)

Preprod_CiDconsulting — Wed, 24 Jul 2024 12:37:01 +0000

Le contexte

L’Autorité des marchés financiers (AMF) a publié en juin 2024 une mise à jour de son analyse sectorielle des risques de blanchiment de capitaux et de financement du terrorisme (BC-FT). Ce rapport actualise celui de 2019 et décline, pour les professionnels placés sous sa supervision, l’Analyse Nationale des Risques (ANR) de 2023 du Conseil d’orientation de la lutte contre le blanchiment de capitaux et le financement du terrorisme (COLB).

Principales conclusions de l'analyse

L’analyse a mis en lumière plusieurs menaces spécifiques et vulnérabilités dans les secteurs financiers. En gestion d’actifs, les risques varient selon les segments : un risque global faible pour les instruments financiers traditionnels, mais modéré pour le capital investissement, la gestion sous mandat, et l’immobilier. Les conseillers en investissement financier (CIF) et le financement participatif présentent un risque modéré.

Les cryptos-actifs, notamment les prestataires de services sur actifs numériques (PSAN) agréées et les émetteurs de jetons (ICO), affichent un risque élevé en raison de leur nature décentralisée et de la complexité de leur régulation. Les menaces identifiées incluent des fraudes, des escroqueries, et des risques de prolifération et de corruption, tant au niveau national qu’européen. La fraude fiscale et le financement de la prolifération sont également des préoccupations majeures. Le rapport souligne que malgré les mesures d’atténuation en place, certaines vulnérabilités demeurent, surtout dans les secteurs émergents comme les crypto-actifs.

Nouveautés méthodologiques

Cette version de l’ASR introduit une échelle de cotation à quatre niveaux pour évaluer les risques BC-FT : faible, modéré, élevé, et très élevé, ajoutant ainsi un nouveau niveau de granularité dans l’évaluation des risques.

Et concrètement ?

Les institutions financières doivent intégrer ces conclusions dans leurs dispositifs de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT). Une vigilance accrue et des mesures de conformité renforcées sont recommandées pour les secteurs identifiés à risque modéré, élevé et très élevé. Cela inclut une meilleure surveillance des transactions, des procédures renforcées de vérification de l’identité des clients, et l’adoption de technologies avancées pour détecter les activités suspectes.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

AFA – Signalement externe – Nouveau dispositif

Preprod_CiDconsulting — Wed, 19 Jun 2024 10:27:23 +0000

Le contexte

La législation sur le renforcement de la protection des lanceurs d’alerte a désigné notamment l’Agence Française Anticorruption (AFA) comme autorité de recueil des signalements externes pour certains faits d’atteintes à la probité (Loi Sapin II, modifiée par la loi n° 2022-401 du 21 mars 2022 ; Décret n°2022-1284 du 3 octobre 2022). Aussi, depuis le 5 octobre 2022, date d’entrée en vigueur du décret sus-cité, il est possible d’effectuer directement un signalement auprès de l’AFA, qui, le cas échéant, le transmettra à une autre autorité de recueil des signalements externes si elle n’est pas compétente.

A cette fin, l’AFA s’est récemment dotée d’un nouveau dispositif destiné à recevoir et traiter les signalements qui lui sont faits via un formulaire disponible sur son site internet.

Pour rappel, les entités employant au moins cinquante salariés doivent mettre à disposition des potentiels lanceurs d’alerte des informations claires et facilement accessibles concernant les procédures de signalement externe (Décret n°2022-1284 du 3 octobre 2022, art. 8).

Faire un signalement à l'AFA

L’AFA est chargée d’aider les autorités compétentes et les personnes qui y sont confrontées à prévenir et à détecter les atteintes à la probité, c’est-à-dire les faits de corruption, de trafic d’influence, de concussion, de prise illégale d’intérêts, de détournement de fonds publics et de favoritisme.

L’AFA s’est dotée d’un dispositif unique lui permettant de recevoir et de traiter l’ensemble des signalements portant sur des faits susceptibles de constituer des atteintes à la probité ou sur les mesures de prévention et de détection des atteintes à la probité mis en œuvre par les entreprises et les acteurs publics.

Et concrètement ?

Les sociétés entrant dans le champ d’application de la loi SAPIN II doivent faire figurer dans leur dispositif interne en matière de lutte anti-corruption (a) la possibilité de signalement directement auprès de l’AFA par des lanceurs d’alerte et (b) détailler les différents moyens offerts pour ce faire par l’AFA (voie électronique, téléphone et courrier).

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

AMF – Cybersécurité et risques informatiques. Préparation à l’entrée en application du règlement européen DORA

Preprod_CiDconsulting — Wed, 13 Mar 2024 10:39:14 +0000

Le contexte

Le règlement européen sur la résilience opérationnelle numérique du secteur financier (Digital Operational Resilience Act ou DORA) établit des règles en matière de cybersécurité et de gestion des risques informatiques pour un grand nombre d’entités financières. Il entrera en application le 17 janvier 2025. Afin d’accompagner les professionnels dans l’application de ce texte, l’AMF en rappelle les principales dispositions, à un an de leur entrée en application.

Principales dispositions

Le règlement DORA vise à harmoniser les dispositions relatives à la cybersécurité et à la gestion des risques informatiques dans le secteur financier. Son périmètre inclut pratiquement toutes les entités du secteur financier, ainsi que les entreprises tierces leur fournissant des services informatiques sur des fonctions critiques ou importantes.

Le règlement DORA comprend des dispositions imposant aux entités financières :

de mettre en œuvre un cadre de gestion du risque lié aux technologies de l’information et de la communication (TIC). Ce cadre doit notamment comprendre la mise en place de règles de gouvernance et de contrôle interne, l’élaboration d’une stratégie de résilience opérationnelle numérique et l’instauration d’une politique complète de continuité des activités de TIC ;
de notifier aux autorités nationales compétentes (en France : AMF ou ACPR) les incidents identifiés comme majeurs et liés aux TIC ;
d’effectuer des tests de résilience opérationnelle numérique. Certaines entités financières identifiées par les autorités compétentes, notamment sur la base du caractère systémique de l’entité ou du profil du risque lié aux TIC, devront également mettre en place des tests avancés au moyen de tests de pénétration fondés sur la menace, c’est-à-dire simulant le mode opératoire de véritables attaques cyber ;
de gérer le risque lié au recours à des prestataires tiers de services TIC, avec notamment de nouvelles exigences au niveau contractuel. Les entités financières doivent identifier et intégrer les risques liés aux prestataires tiers de services TIC dans leur cadre de gestion des risques, et demeurent pleinement responsables du respect des obligations du règlement DORA lorsqu’elles ont recours à ces tiers ;
de partager de façon volontaire des informations opérationnelles relatives aux menaces d’origine cyber et les vulnérabilités entre acteurs du secteur financier.

Textes d’application

Le règlement DORA prévoit également l’adoption ultérieure d’un certain nombre de textes d’application. Ces textes sont en cours d’élaboration par les trois autorités européennes de supervision (ESMA, EBA et EIOPA), avec l’implication des autorités nationales, dont l’AMF. Les normes techniques développées permettront d’harmoniser les exigences de sécurité informatique et la gestion du risque lié aux TIC à l’échelle de l’Union Européenne. Elles apporteront également des précisions aux entités financières quant à leur mise en conformité avec les obligations de DORA.

Et concrètement ?

Le règlement DORA entrera en application le 17 janvier 2025. L’AMF appelle les acteurs à se préparer à l’entrée en application de ce texte et à anticiper leurs travaux de mise en conformité. Dans cette perspective, l’AMF invite les acteurs à prendre connaissance des différentes informations disponibles sur son site internet, incluant par exemple la synthèse des derniers contrôles SPOT relatifs au dispositif de cybersécurité des sociétés de gestion disponible. Ces contrôles contiennent des conclusions utiles pour les entités financières en amont de l’entrée en application de DORA.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

IMPACT 2027 : Orientations stratégiques de l’AMF 2023-2027

Preprod_CiDconsulting — Wed, 13 Sep 2023 09:09:00 +0000

Le contexte

En même temps que sa publication de rapport annuel 2022, L’AMF présente le document IMPACT 2027, relatif à ses orientations stratégiques pour les cinq années à venir.

Axes et priorités du régulateur

L’AMF s’engage à servir 2 axes transversaux :

L’intégrité : être un régulateur exigeant pour une place financière de premier plan
L’influence : mener une action internationale forte pour une norme de qualité appliquée de manière homogène

Elle se donne 3 priorités thématiques :

Protéger les épargnants
Promouvoir une finance plus durable
Accompagner l’innovation

Cet engagement, l’AMF souhaite le réaliser grâce à une organisation attractive et une dynamique d’amélioration de sa performance au service de l’intérêt général.

Quels enseignements tirer de cette annonce

Consciente de son rôle primordial dans l’attractivité de la place boursière parisienne, l’AMF maintient son niveau d’exigence et se donne comme priorité de garantir la compétitivité de la Place.
Tout en entraînant une surrèglementation et de la surtransposition, elle garde pour cap la protection de l’investisseur.

Et concrètement ?

L’AMF reste plus que jamais mobilisée pour défendre la place financière parisienne et protéger les épargnants.
Les établissements doivent garder en tête cette orientation stratégique dans leur propre stratégie de développement.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

Décision de la Commission des Sanctions de l’ACPR du 16 mai 2023

Preprod_CiDconsulting — Wed, 30 Aug 2023 11:26:00 +0000

Le contexte

BMW Finance est une société financière agréée en 1988, devenue en 2013, un établissement de crédit spécialisé. Elle exerce principalement une activité de financement pour la location longue durée ou avec option d’achat de véhicules et propose des garanties et des assurances en tant que courtier d’assurance.
Entre février et juin 2021, l’ACPR a procédé au contrôle des obligations en matière de LCB-FT de BMW Finance et a ouvert une procédure disciplinaire le 10 mai 2022.

Les griefs constatés par la Commission des Sanctions de l’ACPR

BMW Finance n’avait pas les moyens humains suffisants pour respecter toutes ses obligations de LCB-FT, ce qui a notamment conduit à une interruption de traitement des alertes pendant plusieurs mois et à des délais allant jusque 103 jours pour la transmission de déclarations de soupçon (DS) à TRACFIN.

BMW Finance ne consultait pas le registre des bénéficiaires effectifs pour vérifier l’identité des bénéficiaires effectifs de ses clients personnes morales.

BMW Finance ne mettait pas correctement à jour la connaissance de ses clients. Ainsi, aucune actualisation n’était prévue pour les clients en risque standard ou faible et les scores de risque client n’étaient pas modifiés après l’envoi d’une DS à TRACFIN ou à la suite d’une réquisition judiciaire.

BMW Finance, qui sous-traitait l’analyse initiale des alertes PPE à un prestataire n’a pas identifié certaines PPE. De même, les alertes sur le gel des avoirs étaient parfois traitées après plusieurs semaines par le prestataire. Le traitement des alertes sur les PPE et le gel des avoirs par le prestataire n’était pas formalisé dans une convention et le dispositif de contrôle de BMW Finance sur le prestataire était défaillant.

BMW Finance avait un dispositif incomplet et inadapté de suivi et d’analyse des opérations et des relations d’affaires et n’a pas pu effectuer certains examens renforcés et DS, en particulier sur les risques liés au financement des véhicules haut de gamme et n’avait aucun scenario pour le financement terroriste. Toutes les alertes n’étaient pas traitées ou dans un délai trop long et plusieurs opérations auraient dû donner lieu à des examens renforcés et/ou faire l’objet de DS à TRACFIN.

La sanction prononcée par la Commission des Sanctions de l’ACPR

Un blâme et une sanction pécuniaire de 500 000 euros à l’encontre de la société BMW Finance.

Quels enseignements tirer de cette décision ?

Les établissements doivent consulter le registre des bénéficiaires effectifs et signaler les divergences.

Les établissements sont tenus de détecter toutes les PPE et de mettre en œuvre immédiatement les mesures de gel des avoirs le cas échéant.

Les établissements restent responsables des prestations externalisées et doivent les contrôler.

Et concrètement ?

S’assurer de l’accès au registre des bénéficiaires effectifs. Revoir les scores des risques clients après avoir envoyé une DS à TRACFIN. Veiller à l’efficacité du dispositif de détection des PPE et des mesures de gel des avoirs et au traitement rapide des alertes.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?

Codification des règles d’organisation des PSAN

Preprod_CiDconsulting — Wed, 05 Jul 2023 07:57:00 +0000

Le contexte

Le statut de Prestataire de Services en Actifs Numériques (PSAN) a été organisé par le Code Monétaire et Financier en date du 11 décembre 2020.
Les règles d’organisation applicables aux prestataires enregistrés auprès de l’Autorité des Marchés ont fait l’objet d’une mise à jour par la publication de la loi du 9 mars 2023 en son article 8. Le texte prévoit par ailleurs des pouvoirs accrus de l’AMF vis-à-vis des prestataires et le traitement des PSANs jusqu’à la date d’entrée en vigueur du Règlement MICA (« Markets In Crypto Assets »).

Les nouvelles règles applicables aux PSANs codifiées par le code monétaire et financier

Pour ce qui concerne les règles d’organisation des PSAN, l’article L54-10-3 modifié du Code monétaire et financier prévoit principalement les obligations suivantes pour les PSANs à compter du 1er janvier 2024 :

L’obligation de disposer d’un dispositif de sécurité et de contrôle interne adéquat, d’un système de gestion des conflits d’intérêts et d’un système informatique résilient et sécurisé.
Pour ceux des prestataires agréés pour le service de conservation pour le compte de tiers d’actifs numériques ou d’accès à des actifs numériques, l’obligation (a) d’établissement d’une convention de compte établissant leurs missions et responsabilités (b) l’établissement d’une politique de conservation (c) la mise en place de moyens de restitution des actifs conservés (d) la ségrégation des actifs détenus par leurs clients vis-à-vis de leurs actifs propres (e) l’interdiction d’utilisation des actifs de leurs clients sauf consentement exprès et préalable.

Les pouvoirs de l’autorité des marchés Financiers se voient renforcés par ce même texte, l’Autorité pouvant à compter du 1er janvier 2024 (a) solliciter l’avis de l’Autorité nationale de sécurité des systèmes d’information sur la sécurité des systèmes d’information des prestataires (b) suspendre l’enregistrement d’un prestataire représentant une menace grave et imminente pour la stabilité du marché des actifs numériques et (c) prendre des mesures conservatoires lorsque la solvabilité ou le niveau de liquidité constaté chez un prestataire le requiert.

Pour ce qui concerne les PSANs d’ores et déjà enregistrés en France avant l’entrée en application du Règlement MICA (règlement sur les marchés de cryptoactif), ceux-ci peuvent continuer de fournir les services en France jusqu’à la fin de la période transitoire prévue par le Règlement ou jusqu’à leur date d’obtention d’un agrément en qualité de prestataire de services sur cryptoactifs en application de la réglementation européenne en vigueur.

Et concrètement ?

Les PSANs agréés étant d’ores et déjà soumis aux règles du Livre VII du RG AMF, les seuls PSANs enregistrés devraient se préparer, d’ici au 1er janvier 2024, à être conforme aux nouvelles obligations, selon la nature de leurs activités.

Chaque semaine, CiD Consulting vous éclaire sur la règlementaire financière.
Envie de recevoir notre flash info directement dans votre boîte mail ?