Le virement part un jeudi. Quelqu’un déplace le dossier de due diligence dans les archives. La note d’investissement reçoit son numéro de version définitif, puis plus personne ne l’ouvre.
Et à partir de ce moment, à peu de chose près, la visibilité de la plupart des fonds sur les risques de cette entreprise tombe à zéro.
Elle ne diminue pas. Elle ne se dégrade pas. Elle tombe à zéro. Aucun processus ne tourne. Personne ne regarde. Si quelque chose change dans cette entreprise le mois prochain, en mars ou au quatorzième mois de détention, le fonds l’apprend comme les fonds l’apprennent généralement. Par le fondateur, tardivement. Ou par l’avocat de quelqu’un d’autre, plus tard encore.
Voici ce qui mérite réflexion. Personne n’a décidé de procéder ainsi. Il n’y a pas eu de réunion d’associés où quelqu’un aurait soutenu que le risque après la conclusion de l’opération n’avait aucune importance, avec l’accord de tous. Cette situation découle simplement de la manière dont la due diligence a été structurée au départ. Elle a été conçue comme un point de passage. Vous faites les vérifications, vous franchissez ce point, puis il est derrière vous. Ce qui se passe ensuite relève de quelqu’un d’autre ou, plus exactement, de personne.
Appelons cela l’illusion de l’entrée en relation : cette hypothèse implicite selon laquelle le profil de risque que vous avez examiné reste celui de votre participation.
Votre due diligence est probablement solide
Commençons par clarifier un point, car cet argument ne tient pas s’il commence par insulter le lecteur.
La plupart des fonds avec lesquels nous travaillons mènent une due diligence rigoureuse avant la conclusion de l’opération. Vérification des antécédents des fondateurs. Prises de références qui remontent jusqu’à trois degrés au-delà des contacts évidents. Vérification des entités, filtrage des sanctions, historique des contentieux, examen de la table de capitalisation, parfois analyse approfondie de la technologie. Les bons fonds font bien ce travail, et il permet de déceler de vrais problèmes. Nous avons vu des opérations abandonnées au stade de la due diligence pour les raisons mêmes qui justifient son existence.
Le processus préalable à la conclusion de l’opération n’est donc pas le problème. Il remplit la fonction pour laquelle il a été conçu.
Cette fonction consiste à établir une situation de référence. Il répond à une question, et il y répond correctement : avec qui nous engageons-nous, à ce jour ?
La question est bonne. Les mots clés sont « à ce jour ».
La question que la due diligence ne pose jamais
Car il existe une seconde question, à laquelle presque personne ne s’est donné les moyens de répondre. Qu’est-ce qui change après aujourd’hui, et le saurons-nous lorsque cela arrivera ?
Ce n’est pas une version plus difficile de la première question. C’est une autre question. Un autre rythme, d’autres données, d’autres causes de défaillance, et un dispositif entièrement différent pour y répondre.
Un fonds qui répond brillamment à la première question sans jamais poser la seconde ne mène pas une due diligence incomplète. Il mène une due diligence complète, puis appelle cela un programme de gestion des risques. Une démarche bien plus étrange dès qu’on l’examine de près.
Sept choses que vous ne trouverez pas dans une salle de données
Voici ce qui apparaît réellement après la conclusion de l’opération. Sept catégories, issues de ce que nous voyons émerger dans les portefeuilles en cours de suivi.
De nouveaux faits s’ajoutent au parcours du fondateur. Il ne s’agit pas d’un élément que nous aurions manqué, mais de nouveaux événements. Une action en justice qui le vise personnellement. Une précédente entreprise qui s’effondre et dont les retombées entachent la réputation de votre participation. Un rôle de conseil non déclaré dans une entreprise qui s’avère être un concurrent, ou quelque chose de pire.
La structure juridique évolue. De nouvelles filiales apparaissent. L’entreprise change de domiciliation. Dans la crypto, c’est presque courant : elle lève des fonds, se domicilie aux îles Vierges britanniques, aux îles Caïmans ou aux Émirats arabes unis, et le cadre réglementaire que vous avez examiné correspond désormais à une entreprise qui n’existe plus sous cette forme. Les dirigeants changent. Des actions passent entre les mains de parties que vous n’avez jamais examinées. Des registres comme OpenCorporates permettent de voir tout cela, à condition que quelqu’un regarde. Généralement, personne ne le fait.
Une exposition aux sanctions apparaît. Une contrepartie est inscrite sur une liste de sanctions. Un partenaire bancaire. Un client. Parfois, une juridiction entière. OFAC publie de nouvelles désignations au fil de l’eau, et votre due diligence était la photographie d’une situation qui a depuis évolué.
L’infrastructure des contreparties fait défaut. La plateforme d’échange partenaire de l’entreprise en portefeuille s’effondre. Son dépositaire fait l’objet de sanctions. Sa principale relation bancaire disparaît un mardi, sans préavis. Votre participation perd de sa valeur à cause d’un événement dont l’entreprise elle-même n’est pas responsable, et il est fort possible que personne ne vous en informe pendant des semaines.
De nouveaux investisseurs entrent au capital d’une entreprise dont vous détenez déjà une part. La due diligence du tour suivant est menée par quelqu’un d’autre. Ses résultats vous engagent, sans que vous ayez piloté le processus.
Des campagnes d’usurpation d’identité démarrent. De faux groupes Telegram. Des comptes X clonés. Un faux canal d’assistance qui dépouille les utilisateurs d’un produit qui, le jour de la conclusion de l’opération, n’avait aucun utilisateur. Vous ne pouviez pas examiner ce risque dans votre due diligence. Il n’y avait encore rien à examiner.
Les règles changent autour d’un produit qui, lui, n’a pas changé. Un jeton est requalifié. Un service devient une activité de services monétaires dans une juridiction où ce n’était pas le cas l’année précédente. L’entreprise n’a absolument rien fait. Le périmètre a changé.
Un exemple, car l’abstraction ne suffit pas
Un fonds conclut un investissement d’amorçage dans une entreprise de paiements en février. La due diligence ne révèle aucun problème. Aucune présence sur une liste, aucun signal d’alerte dans le dossier.
En septembre, l’entreprise signe un partenariat de règlement avec une plateforme d’échange régionale. Cette plateforme ne présente aucun problème en septembre. En janvier, son principal actionnaire est inscrit sur une liste de sanctions, et le circuit de paiement en monnaie fiduciaire de l’entreprise devient un problème de conformité bien réel, au sein d’une participation que le fonds n’a pas formellement réexaminée depuis onze mois.
Rien dans la salle de données de février ne pouvait le révéler. Le partenariat n’avait pas été signé. La désignation n’avait pas eu lieu. Toutes les personnes concernées avaient correctement fait leur travail.
L’argument qui tranche la question
Reprenons trois de ces sept catégories. Les désignations au titre des sanctions. Les campagnes d’usurpation d’identité. Les requalifications réglementaires.
Aucune ne constitue une défaillance de la due diligence. C’est impossible, puisqu’au moment où elle a été menée, ces événements ne s’étaient pas produits.
Tout l’argument est là, et il mérite d’être énoncé sans détour. Vous ne pouvez pas examiner un événement qui n’existe pas encore. Aucune rigueur préalable à la conclusion de l’opération ne permet de détecter une désignation qui intervient au quatorzième mois. Ni un meilleur analyste, ni un meilleur fournisseur de données, ni une période de due diligence plus longue. L’événement n’existait pas : il n’y avait rien à trouver.
Il ne reste donc qu’un seul moyen de le détecter. Un dispositif qui regarde encore au quatorzième mois.
C’est tout. Voilà l’argument.
Le secteur bancaire a réglé cette question il y a une vingtaine d’années
Cette idée n’a rien de nouveau. Elle est simplement nouvelle dans le capital-risque.
Dans la finance réglementée, la vigilance continue à l’égard de la clientèle est un principe établi. La recommandation 10 du GAFI indique explicitement que les établissements financiers doivent exercer une vigilance continue sur leurs relations d’affaires, et non effectuer une seule vérification à l’entrée en relation. Les directives de l’EU en matière de LCB-FT consacrent le même principe. Le secteur dispose même d’un terme pour sa version aboutie, le KYC perpétuel, avec ses fournisseurs, ses cadres méthodologiques et des pratiques déjà bien développées.
Les banques n’en sont pas arrivées là volontairement. Les régulateurs les y ont conduites sur une vingtaine d’années, à grands frais et au prix de nombreuses protestations.
Venons-en maintenant au point qui exige de la franchise et de la précision, car une erreur ici fragiliserait tout ce qui précède. La plupart des fonds de capital-risque et des fonds crypto ne sont actuellement pas soumis à ces exigences. Vous restez largement en dehors de ce périmètre. Personne ne vous infligera une amende au prochain trimestre pour ne pas avoir surveillé une entreprise en portefeuille.
L’argument ne repose pas sur une obligation. Il repose sur le fait que ce principe existe dans un secteur voisin, pour des raisons qui correspondent presque parfaitement à votre situation. L’absence d’une autorité chargée de le faire respecter est une bien mauvaise raison d’en rejeter la logique.
Ce qui manque au capital-risque, c’est un nom
Une fonction conformité bancaire sait exactement ce que signifie le pKYC. Ce qu’il coûte, à quoi il sert, qui en est responsable et ce qui se passe lorsqu’il échoue.
Le capital-risque n’a pas de terme équivalent. Il n’a donc pas de discussion équivalente. Et cette lacune ne fait jamais l’objet d’un budget, puisque personne n’a formulé précisément ce qu’elle recouvre.
Appelons donc cela la due diligence perpétuelle, en reprenant délibérément la même structure. L’objectif est de rendre le besoin explicite.
Sur le plan opérationnel, cela tient à trois éléments. Un filtrage continu sur les mêmes catégories que votre due diligence, maintenu dans la durée au lieu d’être réalisé une seule fois. Une remontée des alertes déclenchée par les événements plutôt que par le calendrier, car le risque n’a jamais respecté les limites d’un trimestre. Et un responsable désigné, avec une procédure de réponse définie, car une alerte dont personne n’est responsable est une note, pas une mesure de contrôle.
Ce n’est pas un chantier lourd. C’est avant tout une décision.
Le périmètre évolue de toute façon
On pourrait conclure cet argument par « un jour, le régulateur viendra vous demander des comptes ». Cette version me plaît peu, car elle est à la fois vraie et facile.
Mais la tendance est réelle et mérite d’être comprise avec précision. Les questionnaires de due diligence opérationnelle des investisseurs dans les fonds portent de plus en plus sur le suivi continu du portefeuille, au-delà du filtrage initial. Le cadre de due diligence de l’ILPA a progressivement élargi ce que les allocataires de capitaux attendent des fonds en matière de démonstration. Les attentes de LCB-FT propres à la crypto se renforcent dans la plupart des grandes juridictions, et les rapports annuels de Chainalysis sur la criminalité en montrent assez clairement les raisons. Les fonds ne sont pas toujours aussi éloignés du périmètre réglementaire qu’ils le pensent.
Les fonds qui mettent ce dispositif en place maintenant le font selon leurs propres modalités, à leur rythme et pour un coût qu’ils maîtrisent. Ceux qui attendent le font dans l’urgence, sous pression et mal. Ce n’est pas une prédiction réglementaire. C’est simplement ce qui arrive à toute capacité opérationnelle dont la mise en place est trop longtemps reportée.
Questions fréquentes
La due diligence est une photographie de la situation, et lorsqu’elle est bien menée, elle remplit généralement son rôle. Elle établit ce qui est vrai au sujet d’une entreprise aujourd’hui. Elle ne peut pas répondre à la seconde question : qu’est-ce qui change après aujourd’hui, et le saurons-nous lorsque cela arrivera ? Aucun élément d’une salle de données ne vous avertit lorsqu’il devient obsolète.
Ceux qui émergent dans les portefeuilles en cours de suivi plutôt que dans les salles de données : désignations au titre des sanctions, requalifications réglementaires, contentieux, mesures prises par les autorités, changements de propriété et de contrôle, et campagnes d’usurpation d’identité menées au nom de l’entreprise. Aucun de ces événements ne pouvait être détecté pendant la due diligence, puisqu’ils ne s’étaient pas encore produits.
Oui, et c’est précisément le propos. Le secteur bancaire a réglé cette question il y a une vingtaine d’années : un dossier client qui n’est exact que le jour de son ouverture est une archive, pas une mesure de contrôle. Le capital-risque est exposé aux mêmes risques et, jusqu’ici, il lui manque le plus souvent à la fois les mots pour les nommer et un responsable pour les suivre.
Pour la plupart des fonds aujourd’hui, non. Et un argument qui repose uniquement sur « un jour, le régulateur viendra vous demander des comptes » est à la fois vrai et facile. L’argument économique est plus solide. Les événements qui apparaissent après la conclusion de l’opération sont précisément ceux qui nuisent aux relations bancaires de l’entreprise en portefeuille, à ses clients et à sa prochaine levée de fonds.
Les alertes par mots clés font remonter des mentions. Elles ne vous disent pas si une mention concerne votre entreprise ou un homonyme, ne couvrent ni les registres d’entreprises, ni les dossiers judiciaires, ni les listes de sanctions, et ne fournissent pas la source et la date dont vous avez besoin pour agir. Le travail consiste à confirmer l’identité et à écarter les coïncidences, pas à trouver du texte.
Il ne dit ni que la due diligence est défaillante, ni que chaque fonds a besoin d’un service conformité. Il dit simplement que le dossier commence à devenir obsolète dès sa signature, que certains des changements concernés causent de vrais dommages et que leur détection devrait relever d’une personne désignée plutôt que de personne.
Conclusion
Il faut être précis, car il serait facile d’aller trop loin.
Personne ne dit que la due diligence préalable à la conclusion de l’opération est inutile. Elle ne l’est pas, et les fonds qui la mènent bien doivent continuer à le faire. Personne ne dit que chaque entreprise en portefeuille a besoin d’une surveillance quotidienne. Ce n’est pas le cas de la plupart d’entre elles, et prétendre le contraire mène à un programme de surveillance que personne ne consulte.
Le constat est plus circonscrit, et plus difficile à écarter une fois qu’on l’a compris. Le modèle du point de passage repose sur une erreur de catégorie. La due diligence n’est pas une porte que l’on franchit une seule fois. C’est une vigilance que l’on maintient aussi longtemps que l’on détient l’actif. Tout le reste en découle.
Pour voir ce que cela donne sur des participations réelles, Beady AI propose une analyse rétrospective : partir de votre portefeuille actuel et montrer ce qui a changé depuis la conclusion de chaque opération. Réservez une session et nous réaliserons cette analyse sur vos entreprises. D’après notre expérience, la réponse n’est jamais « rien », ce qui est rassurant ou non, selon votre goût pour les surprises.
