Un rapport de due diligence est une mesure. Garder cette idée à l’esprit permet de comprendre presque entièrement pourquoi le modèle habituel de due diligence des fonds a discrètement cessé de fonctionner.
Toute mesure d’un système qui évolue commence à devenir obsolète dès qu’elle est effectuée. La température indiquée par un thermomètre est exacte à un instant donné. Une carte est exacte tant que les routes ne changent pas. Et un rapport de due diligence est exact le jour où il est achevé. Ensuite, lentement et sans que cela se voie, il commence à décrire une entreprise qui n’existe plus tout à fait sous cette forme.
La due diligence ponctuelle traite cette mesure qui perd de sa validité comme un fait permanent. Elle effectue le contrôle, classe le rapport et agit comme si la réponse restait valable indéfiniment. La surveillance continue traite cette même mesure pour ce qu’elle est réellement : un relevé à actualiser, parce que ce qui est mesuré ne reste pas immobile.
La bonne question n’est pas de savoir laquelle est la meilleure. Elles répondent à des questions différentes, et un fonds sérieux a besoin des deux. Il faut plutôt se demander à quelle vitesse la réponse de la première devient caduque. Pour les fonds en particulier, la réponse est : plus vite que presque tout le monde ne l’imagine. Cet article explique pourquoi, ce qu’implique réellement l’autre approche, l’orientation prise par les régulateurs, comment choisir une plateforme et comment effectuer la transition sans les perturbations habituelles.
Deux questions, plutôt que deux méthodes
Le « ou » du titre est un peu trompeur. Il faut donc lever l’ambiguïté avant d’aller plus loin. La surveillance continue et la due diligence ponctuelle ne sont pas deux techniques rivales qui cherchent à accomplir la même tâche. Elles remplissent des fonctions différentes.
La due diligence ponctuelle répond à une question qui se pose au moment de décider. Cette entité est-elle acceptable, maintenant, dans la situation qui est la sienne aujourd’hui ? C’est la question qu’un fonds se pose avant de virer de l’argent, et c’est précisément celle qu’il faut poser à cet instant.
La surveillance continue répond à une question qui se pose chaque jour ensuite. Cette entité est-elle toujours acceptable ? C’est une autre question. Par définition, on ne peut pas y répondre une fois pour toutes à un instant donné. Et c’est celle à laquelle la plupart des fonds n’ont historiquement jamais eu les moyens de répondre.
L’erreur n’a jamais été de mener une due diligence ponctuelle. Elle consistait à supposer qu’en répondant à la première question, on répondait aussi à la seconde. Cela n’a jamais été le cas, et c’est dans l’écart entre les deux que se situe tout le sujet.
D’où vient la due diligence ponctuelle
Le modèle de l’instantané mérite d’être examiné sans préjugés, car il ne relevait pas de la facilité. Il était bien adapté au monde pour lequel il avait été conçu.
Remontons de quelques décennies. La due diligence consistait à récupérer des documents sociaux actualisés une fois par an, à appeler quelques personnes de référence, à lire un rapport de solvabilité et à vérifier un nom sur une courte liste. L’information circulait lentement. Un instantané pris en juin restait globalement exact en décembre, parce que les faits sous-jacents évoluaient à peu près au rythme des documents déposés, c’est-à-dire assez lentement.
Dans ce contexte, un contrôle ponctuel était parfaitement logique. Le rythme d’évolution des données correspondait à celui des revues. Si la situation d’une entreprise changeait, c’était généralement assez lentement pour que la prochaine revue prévue le détecte avant que cela ne porte à conséquence.
Ce modèle ne s’est pas dégradé. Le monde s’est accéléré autour de lui. Les registres se sont numérisés et ont commencé à être actualisés en continu. L’actualité est passée d’un cycle quotidien à un flux permanent. Les régimes de sanctions ont commencé à publier des modifications presque chaque semaine de l’année. Et les entités soumises à la due diligence, les start-up, les entreprises de la crypto, se sont mises à se transformer à une vitesse inconnue des entreprises traditionnelles. L’instantané a gardé toute sa qualité initiale. Ce qui a changé, c’est la vitesse à laquelle il devient obsolète.
La demi-vie d’un rapport de due diligence
Voici une façon plus utile d’aborder le sujet, empruntée à la décroissance radioactive, qui se révèle étonnamment pertinente.
Le jour où un rapport de due diligence est achevé, considérons qu’il est entièrement exact. Il décrit l’entité telle qu’elle est réellement. Dès le lendemain, une faible probabilité commence à s’accumuler qu’un fait important ait changé. Un dirigeant a démissionné, l’entreprise a transféré son siège dans une autre juridiction, une nouvelle contrepartie est apparue, un fondateur a été cité dans une procédure, la qualification réglementaire du produit a changé. Chacun de ces événements, pris isolément, est peu probable un jour donné. Mais ces probabilités se cumulent, sans jamais repartir de zéro.
À un certain stade, suffisamment de choses ont changé pour que le rapport décrive autant le passé que le présent. C’est sa demi-vie : le moment où son exactitude est devenue aussi incertaine qu’un résultat à pile ou face.
Prenez une seule société du portefeuille et tout ce qui peut changer en un an. Ses dirigeants. Sa juridiction d’immatriculation. La répartition de son capital. Ses principales relations bancaires et de règlement. Ses collaborateurs clés. La situation juridique et la réputation de son fondateur. Le traitement réglementaire de son activité. Attribuez à chacun de ces éléments une probabilité annuelle de changement, même modeste : la probabilité qu’au moins l’un d’eux ait changé en quelques mois est déjà élevée, parce que ces probabilités se cumulent au lieu de se compenser dans une moyenne.
Changez maintenant d’échelle. Un fonds ne détient pas une seule société. Il en détient trente, quarante ou soixante. La probabilité qu’un changement important se soit produit quelque part dans un portefeuille de cette taille, cette semaine, n’est pas simplement élevée. C’est une quasi-certitude. À tout moment, il y a presque toujours un élément du portefeuille dont la due diligence n’est plus à jour. La seule question qui reste est de savoir si quelqu’un sait lequel.
Le rapport était exact au moment de sa rédaction. Il devient simplement, de plus en plus, une description du passé.
Pourquoi les fonds se trouvent dans la partie la plus pentue de la courbe
Toute organisation qui s’appuie sur la due diligence subit cette perte de validité. La particularité des fonds est qu’ils en subissent la forme la plus défavorable, sur trois plans à la fois.
Le premier est la durée de détention. Un fonds qui prend une participation prévoit de la conserver sept ou huit ans. La due diligence menée à l’entrée devrait donc rester suffisamment exacte pendant sept ou huit ans. Ailleurs dans la finance, on ne demande jamais à un contrôle unique de rester valable aussi longtemps. Une banque revérifie. Un prêteur revoit ses conditions tarifaires. Un fonds verse les fonds une fois et conserve sa participation, tandis que le rapport initial est censé suffire jusqu’au bout.
Le deuxième est la vitesse d’évolution des entités elles-mêmes. Les start-up et les entreprises de la crypto figurent parmi les organisations qui changent le plus vite. Elles réorientent leur activité, se restructurent, changent de juridiction, remplacent leurs dirigeants et recomposent leur capital à un rythme que les entreprises matures n’approchent jamais. Il suffit de consulter les registres d’entreprises pour constater à quel point ces changements sont courants. Les entités examinées par les fonds évoluent plus vite que presque toutes celles qu’un processus de due diligence peut être amené à évaluer.
Le troisième est l’absence d’élément déclencheur d’une actualisation, et c’est le plus subtil. Une banque est confrontée au profil de risque d’un client chaque fois que de l’argent circule. La relation crée donc naturellement une succession d’occasions de le réexaminer. Les régimes de sanctions fournissent une autre incitation externe, puisque l’OFAC et ses homologues publient constamment des modifications. Un fonds qui détient une participation minoritaire ne bénéficie d’aucun de ces mécanismes. Aucun flux d’argent ne transite par lui pour le compte de la société. La participation reste silencieuse. Rien, dans le déroulement normal de la relation, n’impose un nouvel examen. Si le fonds ne prévoit pas délibérément un tel mécanisme, cet examen n’a pas lieu.
Réunis, ces éléments dessinent une situation proche du pire cas possible. L’exactitude doit durer le plus longtemps, les entités évoluent le plus vite et aucun événement naturel ne déclenche l’actualisation. Parmi tous les acteurs financiers qui s’appuient sur la due diligence, les fonds se trouvent dans la partie la plus pentue de la courbe de perte de validité. C’est une position singulière pour pratiquer la forme de surveillance la plus légère.
Pourquoi la surveillance continue fait mieux que l’audit périodique
Cet argument n’est pas nouveau. Il faut le dire clairement, car le débat a déjà été tranché dans un domaine voisin. Le secteur de la sécurité et de la conformité a connu exactement cette évolution il y a quelques années, en passant des audits annuels à la surveillance continue des contrôles. Personne ne souhaite sérieusement revenir en arrière.
Le raisonnement qui s’y est imposé s’applique directement ici. Un contrôle périodique vous indique l’état de la situation le jour où il est réalisé et ne dit rien de tous les autres jours. Si un contrôle devenait défaillant, si un prestataire manquait à ses obligations ou si une entité changeait le lendemain de l’audit, le modèle périodique ne le détecterait qu’à la prochaine revue prévue. Le problème aurait alors eu des mois pour s’aggraver. La surveillance continue ferme cette fenêtre. Elle détecte le changement lorsqu’il se produit, plutôt qu’à la prochaine échéance du calendrier.
Le modèle périodique ne peut égaler trois avantages. Le premier est tout simplement le délai de détection : le temps entre un changement et le moment où quelqu’un en prend connaissance passe de plusieurs mois à une durée bien plus courte. En matière de risque, ce délai détermine largement si un problème reste limité. Le deuxième est qu’une détection précoce coûte moins cher. Un problème détecté dès son apparition est presque toujours moins coûteux à résoudre que le même problème découvert après s’être aggravé. Le troisième est qu’un historique de preuves continu est tout simplement plus crédible qu’un instantané annuel, qu’il soit examiné par un régulateur, un auditeur, un LP ou un comité interne. « Nous surveillons cela en continu » est une position plus solide que « nous l’avons vérifié en mars dernier ».
Il faut toutefois préciser honnêtement qu’un audit périodique et une surveillance continue ne s’excluent pas. Les programmes les plus solides combinent les deux : une revue périodique approfondie pour établir puis rétablir un état de référence complet, et une surveillance continue pour détecter les évolutions entre deux revues. L’objectif n’est pas de supprimer l’instantané, mais de cesser de s’appuyer uniquement sur lui.
Les bénéfices concrets
En réunissant ces avantages, une approche continue apporte plusieurs résultats qu’un modèle ponctuel ne peut, par construction, pas offrir.
Des alertes plus précoces, d’abord. Les problèmes apparaissent alors qu’ils sont encore limités et peu coûteux à traiter, au lieu d’avoir eu des mois pour s’aggraver sans être vus entre deux revues.
Un délai de détection plus court et connu. Au lieu d’un « nous finirons bien par le savoir » implicite, il existe une réponse précise à la question du temps nécessaire pour apprendre qu’un changement important s’est produit, avec une personne responsable de cet indicateur.
De meilleures preuves. Un historique continu de ce qui était connu et à quel moment est plus facile à défendre devant toute personne chargée de l’examiner qu’un rapport périodique décrivant un instant désormais lointain.
Moins d’efforts inutiles, aussi surprenant que cela puisse paraître. Un bon système continu assure la veille à la place des personnes. Il libère ainsi l’équipe des tâches à faible valeur ajoutée consistant à revérifier périodiquement ce qui n’a pas changé, pour attirer son attention sur les quelques éléments qui ont évolué.
Et un véritable état de référence qui s’améliore avec le temps. Comme la surveillance s’appuie sur une connaissance établie de chaque entité, le système distingue de mieux en mieux les évolutions normales des changements significatifs à mesure qu’il suit un portefeuille donné.
L’orientation prise par les régulateurs
Tout cela ne se produit pas en vase clos. Depuis des années, la réglementation évolue vers une supervision continue, dans plusieurs domaines à la fois. Il faut interpréter cette tendance avec justesse, sans alarmisme.
Dans la lutte contre la criminalité financière, le principe de vigilance continue est établi depuis longtemps. La recommandation 10 du GAFI attend des établissements qu’ils exercent une vigilance continue sur leurs relations d’affaires, au-delà d’un contrôle unique à l’entrée en relation. La forme la plus aboutie de cette attente, une surveillance permanente plutôt qu’une revue périodique, est progressivement passée du statut de bonne pratique à celui de pratique attendue dans la finance réglementée.
Dans la supervision de la conformité au sens large, la même évolution est visible. Des orientations prudentielles comme celles du CFPB sur les tiers considèrent la surveillance continue des prestataires comme une composante permanente d’un programme de conformité, et pas comme une case cochée au départ. Le message commun aux différents régimes est qu’un contrôle ponctuel ne suffit plus à remplir l’obligation.
La plupart des fonds de capital-risque et des fonds crypto ne relèvent pas directement de ces régimes de supervision, et il serait malhonnête de laisser entendre le contraire. Personne ne viendra contrôler un fonds d’amorçage au prochain trimestre parce qu’il ne pratique pas la surveillance permanente. Mais, sur ce type de question, la réglementation tend à évoluer dans un seul sens. Et les attentes imposées aux banques finissent souvent par devenir celles des LP à l’égard des fonds qu’ils financent. Les fonds qui mettent aujourd’hui en place une supervision continue prennent, entre autres, de l’avance sur un niveau d’exigence qui continue de monter.
Ce qu’est réellement la surveillance continue
L’expression peut susciter un malentendu qu’il vaut mieux dissiper, car il donne à l’ensemble une apparence plus lourde et plus bruyante qu’il ne l’est réellement.
La surveillance continue ne consiste pas à répéter indéfiniment une due diligence complète. Ce serait ruineux et cela noierait l’équipe sous des versions répétées d’informations qu’elle possède déjà. Il s’agit d’une tout autre activité.
La due diligence établit un état de référence : une description détaillée d’une entité à un instant donné. La surveillance guette les écarts par rapport à cet état et ne fait remonter que ceux qui comptent. Les deux ne sont pas des solutions interchangeables. Elles dépendent l’une de l’autre. Sans l’état de référence établi par la due diligence, le « changement » n’a aucun sens, car il n’existe aucun point de comparaison pour le mesurer.
Pour décrire honnêtement leur relation, il faut donc dire que la surveillance continue complète la due diligence ponctuelle plutôt qu’elle ne la remplace. L’instantané vous indique quelle était la situation. La surveillance vous dit quand cela cesse d’être vrai. Un bon dispositif de surveillance possède quatre caractéristiques : il s’appuie sur l’état de référence établi par la due diligence, il est déclenché par les événements plutôt que par le calendrier, il filtre rigoureusement pour que seuls les changements importants parviennent à une personne, et chaque signal émis renvoie à une source que l’on peut ouvrir et vérifier.
Comment choisir une plateforme de surveillance continue
Une fois l’intérêt de la surveillance continue établi, la question suivante est de savoir quelle solution utiliser. Les critères de sélection qui comptent ne sont pas toujours ceux qui apparaissent en premier dans une démonstration.
Une couverture adaptée au risque, plutôt qu’une simple étendue. La bonne question est de savoir si la plateforme surveille les éléments précis qui portent votre risque : les bons registres, les bonnes listes de sanctions et de surveillance, les médias défavorables dans les langues et les régions où vos entités exercent réellement leur activité. Ce n’est pas le nombre de sources qu’elle peut afficher qui importe. Une large couverture de sujets qui ne vous concernent pas ne vous couvre pas.
La qualité des signaux avant tout. Toute la valeur de la surveillance continue réside dans le filtrage. Le taux de faux positifs est donc l’indicateur le plus important. Une plateforme qui émet des centaines d’alertes de faible pertinence sera ignorée en quelques semaines. Sa couverture n’aura alors plus d’importance, puisque personne ne lira les résultats. Demandez directement quelle part des éléments remontés justifie une action.
La traçabilité des sources. Chaque signal émis par une plateforme devrait renvoyer à une source primaire que l’on peut ouvrir et vérifier. À mesure que les outils produisent davantage de synthèses par IA, cette exigence devient encore plus importante. Une conclusion invérifiable dans un dossier, aussi assurée paraisse-t-elle, constitue un risque plutôt qu’un atout. À la question « d’où cela vient-il ? », la bonne réponse est un lien.
La fraîcheur des informations. L’utilité d’un outil de surveillance dépend de son actualité. Le temps nécessaire pour qu’un changement réel devienne un signal dans la plateforme, qu’il s’agisse d’heures, de jours ou davantage, détermine si le gain de délai de détection est réel ou théorique.
L’intégration aux habitudes de travail de l’équipe. Une plateforme qui transmet les informations importantes dans les canaux que l’équipe utilise déjà sera utilisée. Celle qui impose de se connecter à un tableau de bord distinct que personne ne pense à ouvrir ne le sera pas, quelle que soit la qualité de sa détection.
La question plus large de l’articulation entre les différentes catégories d’outils de risque et de surveillance, et de celle dont vous avez réellement besoin, est traitée séparément ici.
Comment effectuer la transition
Passer d’un modèle ponctuel à un modèle continu relève davantage d’un changement des habitudes de travail que d’une simple installation. La façon dont le dispositif est déployé détermine en grande partie s’il s’inscrit dans la durée.
La première étape logique est d’établir correctement l’état de référence, puisque la surveillance continue mesure les écarts par rapport à celui-ci. Une référence insuffisante produit une surveillance insuffisante. Pour la plupart des fonds, cela suppose une due diligence approfondie de la situation actuelle du portefeuille existant, afin que le système sache à quoi ressemble la « normale » pour chaque entité avant de commencer à signaler les changements.
Commencez ensuite avec un périmètre limité, plutôt que de tout activer à la fois. En ciblant d’abord les entités les plus risquées et les types de signaux les plus importants, comme les sanctions, les changements d’actionnariat et les médias défavorables concernant les sociétés qui comptent le plus, l’équipe peut prendre confiance dans les résultats avant l’élargissement du périmètre. Un programme de surveillance qui submerge tout le monde dès le premier jour est mis en sourdine dès la deuxième semaine. Et la confiance, une fois perdue, se reconstruit lentement.
Les responsabilités doivent être définies avant toute activation. Un signal qui ne s’adresse à personne en particulier ne parvient à personne. Décider à l’avance qui agit sur quel sujet et dans quel délai transforme donc un flux d’alertes en véritable dispositif de contrôle, plutôt qu’en tableau d’affichage.
Les seuils doivent être ajustés en continu, plutôt que fixés une fois pour toutes. La sensibilité choisie au départ sera excessive ou insuffisante. Les programmes qui fonctionnent encore dix-huit mois plus tard sont ceux dont les responsables ont continué à ajuster les réglages, au lieu de considérer le paramétrage comme terminé.
La revue périodique approfondie ne doit pas être abandonnée pour autant. Le dispositif le plus solide conserve une réévaluation périodique complète de l’état de référence en parallèle de la surveillance continue. La première rétablit une vision d’ensemble, la seconde détecte les évolutions entre deux revues. Elles se renforcent mutuellement ; supprimer l’une affaiblit l’ensemble.
Les difficultés et les moyens d’y répondre
La surveillance continue présente des difficultés, comme toute autre approche. Mais leur importance est très inégale : il convient donc de s’attarder sur celles qui le méritent.
Presque tout se joue autour de la fatigue liée aux alertes. Elle mérite plus qu’une ligne, car c’est de loin la cause la plus fréquente de l’abandon de ces programmes.
Voici comment cela se passe. Un outil est activé et les alertes commencent. Pendant quinze jours, tout le monde les lit, parce que c’est nouveau. Puis le taux d’alertes pertinentes se stabilise à un niveau faible, ignorer une alerte se révèle sans conséquence, et le canal finit mentalement dans la même catégorie que les e-mails de maintenance du bâtiment. Personne ne décide d’arrêter de le lire. Cela se fait tout seul. Le piège, c’est que l’outil semble fonctionner pendant tout ce temps, parce que, techniquement, c’est le cas. Il détecte des éléments que personne ne regarde.
La solution n’est pas d’exiger davantage de discipline. Aucune consigne ne peut faire disparaître une réaction rationnelle à un flux trop bruyant. Il faut moins d’alertes, de meilleure qualité. Des niveaux de gravité, un filtrage strict et la rigueur nécessaire pour ne pas faire remonter certains éléments, même quand ce serait possible. Un canal peu chargé qui vise juste la plupart du temps continue d’être lu. Un canal exhaustif composé surtout de bruit ne l’est pas.
Les deux autres difficultés sont réelles, mais mineures en comparaison. Un outil de surveillance extérieur aux habitudes de travail de l’équipe finit par être délaissé : les signaux doivent donc arriver dans les outils déjà utilisés. Et le logiciel ne constitue pas toute la solution. Il fait remonter et filtre l’information, mais il ne peut ni prendre une décision ni en assumer la responsabilité. Sans processus de réponse et sans responsables nommément désignés, même une bonne surveillance ne mène à rien. Ce dernier point relève davantage de l’organisation que des outils.
Ce que cela change en pratique
Le passage de l’instantané au continu se traduit par plusieurs changements concrets, au-delà des outils.
La due diligence cesse d’être une étape de validation pour devenir un état de référence. Le rapport ne marque plus la fin du processus de gestion des risques d’une entité. Il en marque le début : l’état auquel toutes les évolutions ultérieures seront comparées.
Le délai de détection devient un indicateur dont le fonds assume réellement la responsabilité. Au lieu d’un « nous l’apprendrons si quelque chose se produit », il existe une réponse explicite à la question du temps nécessaire pour apprendre qu’un changement important a eu lieu, et une personne qui en répond.
La revue des risques s’affranchit du calendrier. Plutôt que d’examiner le portefeuille une fois par trimestre parce que le trimestre est terminé, le fonds examine une société précise parce qu’un élément la concernant a changé. L’événement devient le déclencheur, plutôt que la date.
Et la question centrale change. Elle n’est plus « avons-nous effectué leur due diligence ? », une question sur le passé à laquelle un rapport archivé permet de répondre. Elle devient « qu’est-ce qui a changé depuis ? », une question sur le présent à laquelle un rapport archivé ne peut absolument pas répondre.
L’argument plus général expliquant pourquoi le risque ne s’arrête pas à la conclusion d’une opération est développé séparément dans l’article Au-delà de l’entrée en relation. Le présent article en décrit le mécanisme : le risque continue d’évoluer, mais à quelle vitesse, et pourquoi les fonds en ressentent-ils les effets plus que quiconque ? Quant au coût réel de cette perte de validité lorsqu’un changement passe inaperçu, un modèle complet de retour sur investissement lui est consacré.
Questions fréquentes
Ce qui compte réellement : filtre-t-il assez bien pour que les utilisateurs continuent à le lire, surveille-t-il les risques qui vous concernent vraiment, chaque alerte est-elle traçable jusqu’à une source réelle, ses informations sont-elles à jour et atteint-il l’équipe là où elle travaille déjà ?
Conclusion
Le modèle de l’instantané n’a jamais été une erreur. Il convenait à un monde plus lent et reste adapté à la fonction pour laquelle il a été conçu : évaluer une entité au moment de décider. Ses limites concernent tout ce qui vient ensuite. Et elles sont les plus fortes précisément dans les conditions propres aux fonds : des détentions longues, des entités qui évoluent vite et aucun déclencheur naturel d’un nouvel examen.
Traiter un rapport de due diligence comme un fait permanent a toujours relevé d’un certain optimisme. Il s’agit de la mesure d’une cible mouvante, exacte au moment où elle est prise, puis de moins en moins valide. Face à une telle mesure, la démarche raisonnable consiste à continuer de la prendre.
C’est ce que fait Beady AI : elle conserve l’état de référence et surveille les changements importants dans les sanctions, les médias défavorables, les registres d’entreprises et les usurpations d’identité, chaque signal étant relié à sa source. Réservez une session pour la voir à l’œuvre sur un portefeuille réel : c’est le moyen le plus rapide de constater tout ce qui a changé depuis le dernier examen.
