Vous avez effectué les contrôles. L’entreprise était bien réelle, ses propriétaires étaient identifiés, tous les documents concordaient et le dossier a été dûment clôturé avec la mention « approuvé ». Puis chacun est passé à autre chose, comme on le fait une fois un accord conclu. C’est ce que personne ne veut admettre : cette approbation avait une date de péremption, mais personne ne l’a consignée.
L’essentiel du travail de conformité se concentre à l’entrée. La demande, les documents, le filtrage, la validation… tout porte sur le moment où la relation commence. Pourtant, la relation ne s’arrête pas à l’entrée en relation : c’est là qu’elle débute. Le fournisseur que vous avez validé en janvier reste votre fournisseur en novembre, avec tout ce qui a pu lui arriver entre-temps. Les contrôles initiaux vous disent qui était cette personne le jour où vous l’avez rencontrée. Ils ne vous disent absolument rien de ce qu’elle est devenue depuis.
Une image permet de bien comprendre. Le contrôle à l’entrée en relation est une photographie. La surveillance continue est une vidéo en direct. Une photographie est parfaitement exacte et parfaitement figée. Plus elle reste dans votre tiroir, moins elle correspond à la personne qui se trouve aujourd’hui devant vous. Tout l’enjeu réside dans cet écart entre la photographie et le direct : pourquoi il compte bien plus que la plupart des équipes ne le pensent, et ce que signifie concrètement le combler.
La photographie de l’entrée en relation devient obsolète dès sa prise
Un contrôle ponctuel a une durée de validité, plus courte qu’on ne le pense. Les données recueillies étaient exactes le jour de leur collecte. Le problème, c’est que le monde n’a pas cessé d’évoluer ensuite. L’actionnariat change, les personnes changent, les circonstances changent, et rien de tout cela ne vous parvient dans un petit e-mail vous demandant de « réexaminer ce dossier ».
C’est la faille discrète du concept de « due diligence comme filtre d’entrée ». Un filtre d’entrée se franchit une fois, avec l’idée implicite suivante : « le contrôle est passé, donc nous sommes en sécurité ». Mais le risque ne se limite pas à ce passage. Il existe pendant toute la durée de la relation. Une contrepartie présentant un faible risque à l’entrée en relation peut très bien devenir progressivement, ou brutalement, une contrepartie à haut risque sans que votre dossier en rende compte. Votre dossier n’a pas été conçu pour détecter cette évolution. Il a été conçu pour prendre une décision une fois, puis rester en l’état.
Ce qui change réellement après l’entrée en relation
Il est utile d’être concret, car il est facile d’acquiescer à l’idée que « le risque peut évoluer », puis de l’ignorer. Voici ce qui change réellement au sein d’une relation une fois l’accord conclu :
- La propriété et le contrôle. Une entreprise sans problème apparent est rachetée, restructurée ou vendue discrètement, et le nouvel acteur qui la contrôle n’a plus rien à voir avec celui que vous avez examiné. Le nom figurant sur le contrat reste le même, mais les personnes aux commandes sont entièrement différentes.
- Une nouvelle inscription sur une liste de sanctions. Les listes de surveillance évoluent constamment, et une contrepartie, ou l’un de ses propriétaires, peut tout à fait se retrouver soudainement sur une liste de sanctions. Des sanctions peuvent s’appliquer à une entité du fait de sa structure de propriété : vous pouvez donc être concerné sans même avoir constaté le changement en question.
- De nouvelles informations dans les médias défavorables. Une enquête pour fraude, une mesure réglementaire, une accusation grave. Le type d’information qui vous aurait empêché d’entrer en relation, mais qui arrive six mois trop tard pour avoir le moindre effet, sauf si quelqu’un continue à surveiller.
- Des changements parmi les personnes. Un dirigeant frappé d’une interdiction de gérer rejoint le conseil d’administration. Un propriétaire important au passé problématique entre au capital. La fiabilité d’une entreprise dépend toujours de celle des personnes qui la dirigent, et leur liste n’est pas figée.
- Des difficultés financières. Une déclaration d’insolvabilité, une demande de liquidation, une entreprise qui périclite discrètement. Un fournisseur au bord de la faillite est une contrepartie très différente de l’entreprise saine avec laquelle vous avez signé.
- De nouveaux contentieux. Une succession de procédures judiciaires révèle la manière dont une entreprise se comporte lorsque les choses tournent mal. Or, cette tendance n’apparaît souvent qu’une fois votre engagement pris.
Un seul de ces événements peut transformer une relation qui vous convenait en une relation que vous n’auriez jamais engagée. Et la réalité dérangeante, c’est qu’avec une approche ponctuelle, vous les découvrez généralement par hasard, ou en subissant leurs conséquences.
Contrôle ponctuel ou surveillance continue
Ces deux modèles résument tout l’enjeu. Le contrôle ponctuel examine une contrepartie à un instant donné, généralement à l’entrée en relation, puis à nouveau, le cas échéant, lors d’une revue programmée, peut-être tous les un à trois ans. Entre les deux, vous avancez à l’aveugle, en supposant qu’aucun événement significatif ne s’est produit pendant une période pourtant assez longue pour que beaucoup de choses arrivent.
La surveillance continue inverse complètement le modèle. Au lieu d’effectuer des contrôles selon un calendrier, vous réalisez le contrôle initial à l’entrée en relation, puis vous surveillez en permanence. Vous êtes alerté de tout changement significatif lorsqu’il survient, sans attendre la prochaine revue programmée. Le secteur a un terme pour la version la plus aboutie de cette approche : le KYC perpétuel, ou due diligence continue, qui consiste à ne jamais vraiment « clôturer » le dossier d’un client ou d’une contrepartie. Ce n’est pas réellement un nouveau modèle : c’est simplement reconnaître que le risque persiste et que sa surveillance doit donc persister elle aussi.
La différence concrète tient au moment de la détection. Avec le modèle périodique, vous vous demandez : « Quand cette contrepartie doit-elle être réexaminée ? » Avec la surveillance continue, cette question disparaît presque, puisque la réponse est « en permanence ». L’alerte ne vous signale plus une échéance qui approche, mais un fait qui a changé. C’est tout l’intérêt de cette approche, et c’est pourquoi la surveillance continue détecte des éléments des semaines ou des mois avant même un processus périodique très bien géré.
Les régulateurs l’attendent déjà
Si cela vous semble aller au-delà des exigences, ce n’est pas le cas. La surveillance continue n’est pas une option haut de gamme de la due diligence : elle fait partie de sa définition. La norme mondiale, la recommandation 10 du GAFI, prévoit explicitement une due diligence continue sur la relation d’affaires et un examen attentif des opérations pendant toute sa durée, et pas seulement à son commencement. Elle est intégrée aux exigences de base, pas ajoutée après coup.
Cette même attente figure dans les règles nationales. Aux États-Unis, la règle CDD de FinCEN fait de la surveillance continue l’une des composantes essentielles des exigences, et le manuel de contrôle du FFIEC la présente comme une attente fondamentale du régulateur, plutôt que comme une option. Les organisations professionnelles vont toutes dans le même sens. Le Wolfsberg Group, par exemple, décrit depuis quelque temps déjà la lutte efficace contre la criminalité financière comme une démarche qui s’étend sur toute la durée de la relation. En matière de sanctions, les orientations de l’OFAC sur les entités détenues par des personnes dont les avoirs sont bloqués rappellent utilement que l’exposition peut découler de la propriété, ce que seule une surveillance toujours active permet de détecter. La tendance est générale et s’éloigne clairement du contrôle unique.
Le coût invisible de l’absence de surveillance
Le danger du risque après l’entrée en relation, c’est son silence. Si la relation se dégrade après votre validation, rien ne vous le signale. Vous continuez à facturer, à payer, à expédier et à faire confiance, parce que, de votre point de vue, rien n’a changé. Le dossier indique toujours « approuvé ».
L’exposition s’accumule. Chaque opération avec une contrepartie devenue discrètement sanctionnée, insolvable ou frauduleuse l’accroît, sans que vous vous en rendiez compte. Le premier signe est rarement un avertissement : ce sont les conséquences. Un paiement vient d’être gelé, un régulateur vous demande des explications, vous subissez une perte, votre nom apparaît dans un titre de presse tout près de celui d’un autre. À ce stade, la question n’est plus « Aurions-nous dû entrer en relation ? », mais « Pourquoi n’avons-nous pas vu la situation changer ? ». Et « nous avons vérifié au départ » n’est une réponse satisfaisante ni pour un régulateur, ni pour un conseil d’administration, ni pour vous-même.
Il y a aussi un enjeu de réputation, dont les effets dureront plus longtemps que les conséquences financières. Être associé à un acteur malveillant porte préjudice, même si vous n’avez commis aucune faute. Et « nous n’en savions rien » sera entendu très différemment selon que vous pouviez raisonnablement le savoir ou non. Une relation validée il y a des années et jamais réexaminée depuis est très difficile à défendre. Une relation que vous surveilliez activement et pour laquelle vous avez agi dès que la situation a changé témoigne d’un dispositif de contrôle qui a fonctionné. Le même événement, la même contrepartie, mais deux positions entièrement différentes, selon que vous continuiez ou non à surveiller.
Pourquoi les nouveaux contrôles manuels ne passent pas à l’échelle
La réponse évidente consiste à contrôler de nouveau tout le monde périodiquement, et beaucoup d’équipes le font. Le problème, c’est que ce travail manuel est particulièrement pénible. Il est lent, répétitif, et c’est précisément le genre de tâche que l’on reporte lorsqu’un dossier plus urgent arrive. Le nouveau contrôle est donc repoussé, puis repoussé encore, et l’intervalle entre les contrôles ne cesse de s’allonger.
Même lorsqu’elle est correctement menée, la revue manuelle périodique présente une faille structurelle fondamentale : elle ne détecte un changement qu’à la revue suivante, parfois des mois après sa survenue. Une contrepartie est sanctionnée en mars, votre prochain cycle de revue ne l’examine qu’en septembre, et vous êtes resté exposé pendant six mois. Le problème n’est pas que le nouveau contrôle manuel soit mal fait : c’est qu’il ne répond pas au bon problème. Le risque évolue constamment, tandis qu’un calendrier impose des contrôles à intervalles fixes. Les deux ne coïncident jamais vraiment.
La surveillance continue en pratique
L’alternative consiste à changer ce qui assure la surveillance, plutôt qu’à multiplier les contrôles manuels. Avec une surveillance continue automatisée, vous examinez une contrepartie à l’entrée en relation, puis le système poursuit la surveillance de l’entité et des personnes qui la contrôlent. Il signale un changement lorsqu’il survient, sans attendre la prochaine date de revue. Le calendrier ne détermine plus quand vous regardez.
C’est sur ce point que Beady est conçue pour apporter sa valeur. Elle vérifie une entreprise et identifie son véritable propriétaire parmi plus de 200 millions d’entités juridiques et de dirigeants dans le monde, puis poursuit la surveillance de cette contrepartie dans le temps. Pour cela, elle soumet l’entreprise et les personnes qui lui sont liées au filtrage des sanctions et des médias défavorables, et vous alerte lorsqu’un changement significatif survient. Chaque alerte renvoie à sa source pour que vous puissiez voir précisément ce qui a changé et pourquoi cela compte. L’entrée en relation marque le début de la surveillance, pas sa fin. Pour toute équipe qui contrôle réellement des contreparties à grande échelle, c’est la différence entre un dossier qui sert à prendre une décision une fois et une relation dans laquelle vous pouvez avoir confiance aujourd’hui. Vous pouvez voir ce même moteur à l’œuvre lors de l’entrée en relation avec notre automatisation du KYB : les contrôles initiaux et la surveillance continue reposent ainsi sur la même source de référence.
Si vous souhaitez voir ce que la surveillance continue peut faire ressortir sur une contrepartie avec laquelle vous êtes déjà en relation, réservez une démo et nous réaliserons cet exercice avec vous.
L’accord est conclu ; le risque demeure
La signature d’un contrat ressemble à une ligne d’arrivée. D’une certaine manière, c’en est une. L’entrée en relation est terminée, la décision est prise. Mais la relation qui en résulte est vivante, et ce qui vit évolue. La contrepartie que vous avez validée n’est pas un fait immuable que vous pouvez simplement classer. C’est une réalité mouvante à laquelle vous avez choisi de vous lier, et la seule façon de savoir si ce lien reste sûr est de continuer à la surveiller.
Les contrôles à l’entrée en relation répondent très bien à une question : pouvons-nous engager cette relation ? La surveillance continue répond à celle qui compte réellement pour éviter d’en subir les conséquences : devons-nous la poursuivre ? La première est une photographie. La seconde est une vidéo en direct. Lorsque les enjeux sont réels, vous avez besoin des deux, et la seconde doit continuer à tourner bien après la prise de la première.
