Rédiger une procédure de lutte contre le blanchiment est à la portée de toute structure. S’assurer qu’elle est appliquée dans chaque dossier, par chaque collaborateur, tout au long de l’année, est une autre affaire. C’est précisément l’objet du contrôle interne LCB-FT, que le code monétaire et financier impose à tous les assujettis, banques ou non. Pour les professions non bancaires, le décret prévoit un dispositif allégé mais réel, avec un contrôle permanent et, selon la taille, un contrôle périodique indépendant.
En bref
- L’article L. 561-32 impose à tous les assujettis des mesures de contrôle interne.
- Le dispositif est adapté à la taille, à la nature, à la complexité et au volume des activités (article R. 561-38-3).
- Pour les professions non bancaires, l’article R. 561-38-8 en fixe le contenu minimal.
- Le contrôle périodique indépendant est requis « lorsque cela est approprié eu égard à la taille et à la nature des activités ».
- Les incidents et insuffisances appellent des mesures correctrices dans des délais raisonnables.
Le fondement légal
Le II de l’article L. 561-32 du code monétaire et financier est bref : pour veiller au respect de leurs obligations, les personnes assujetties mettent en place des mesures de contrôle interne. Le décret en précise la portée. Selon l’article R. 561-38-3, elles mettent en place un dispositif de contrôle interne adapté à leur taille, à la nature, à la complexité et au volume de leurs activités, et doté de moyens humains suffisants.
Le décret distingue ensuite deux régimes, consultables sur Légifrance. L’article R. 561-38-4 vise le secteur financier au sens strict : banque, assurance, entreprises d’investissement. L’article R. 561-38-8 vise les autres assujettis : intermédiaires, changeurs manuels, professionnels de l’immobilier, opérateurs de jeux, négociants en biens de valeur, experts-comptables, commissaires aux comptes, professions du droit, domiciliataires, agents sportifs, ainsi que les conseillers en investissements financiers et les prestataires de financement participatif.
Deux régimes comparés
| Secteur financier (R. 561-38-4) | Professions non bancaires (R. 561-38-8) | |
|---|---|---|
| Procédures | Organisation du dispositif et activités de contrôle, avec des critères et seuils d’identification des incidents importants | Procédures définissant les activités de contrôle interne |
| Contrôle permanent | Par les opérationnels et par des personnes dédiées à la seule fonction de contrôle | Par les opérationnels et, le cas échéant, selon la taille et la complexité, par des personnes dédiées |
| Contrôle périodique | Par des personnes dédiées et indépendantes, sans condition | Par des personnes dédiées et indépendantes, lorsque cela est approprié eu égard à la taille et à la nature des activités |
| Mesures correctrices | Immédiates pour les incidents, dans des délais raisonnables pour les insuffisances | Dans des délais raisonnables et selon les risques auxquels l’assujetti est confronté |
La logique est la même que celle du secteur bancaire, que nous décrivons dans notre article sur le contrôle permanent et le contrôle périodique, mais avec une marge d’adaptation plus large.
Le contrôle permanent en pratique
Le contrôle permanent est celui qui s’exerce au fil de l’activité. Dans une structure non bancaire, il prend deux formes.
Les contrôles intégrés aux opérations
Ce sont les vérifications faites par le collaborateur qui traite le dossier : la pièce d’identité est-elle au dossier, le bénéficiaire effectif est-il identifié, la cotation de risque est-elle renseignée ? Une liste de contrôle par dossier, datée et visée, en est la trace la plus simple.
Les contrôles de second regard
Ils sont réalisés par une personne qui n’a pas traité le dossier : le responsable du dispositif ou un collaborateur désigné. Le texte les prévoit « le cas échéant », en fonction de la taille, de la complexité et du niveau des activités. Ils portent en général sur un échantillon périodique de dossiers, sur l’ensemble des dossiers cotés à risque élevé, et sur les opérations ayant donné lieu à un examen renforcé.
Dans les deux cas, la règle est la même : un contrôle qui ne laisse pas de trace écrite n’existe pas pour une autorité de contrôle.
Le contrôle périodique : quand est-il « approprié » ?
Le texte ne fixe pas de seuil chiffré. Il renvoie à la taille et à la nature des activités. L’appréciation relève de l’assujetti, sous le regard de son autorité de contrôle. Quelques indices orientent la décision :
- la structure compte plusieurs sites, équipes ou associés, de sorte que le responsable du dispositif ne voit pas tous les dossiers ;
- l’activité comporte des prestations classées à risque élevé dans la classification des risques ;
- le volume de dossiers rend un contrôle exhaustif impossible ;
- un contrôle antérieur de l’autorité a relevé des insuffisances.
Le texte exige que ce contrôle soit réalisé par des personnes dédiées, de manière indépendante à l’égard des personnes, entités et services qu’elles contrôlent. Dans une petite structure, cette indépendance est difficile à trouver en interne : celui qui a conçu les procédures et supervise les dossiers ne peut pas s’auditer lui-même. Le recours à un cabinet extérieur est alors la solution la plus simple.
Le plan de contrôle
Un plan de contrôle écrit tient souvent en une page. Il précise, pour chaque contrôle : son objet, sa fréquence, la personne qui le réalise, la méthode de sélection des dossiers et la forme du compte rendu. Les thèmes à couvrir découlent des obligations elles-mêmes :
- existence et actualisation de la classification des risques ;
- identification et vérification de l’identité des clients et des bénéficiaires effectifs ;
- connaissance et actualisation de la relation d’affaires ;
- traitement des situations à vigilance complémentaire et des examens renforcés ;
- procédure de déclaration de soupçon et confidentialité ;
- dispositif de gel des avoirs ;
- information et formation du personnel ;
- conservation des documents pendant cinq ans.
Traiter les anomalies
L’article R. 561-38-8 impose de prendre les mesures correctrices nécessaires pour remédier aux incidents ou insuffisances et pour assurer l’efficacité du dispositif de contrôle interne, dans des délais raisonnables et selon les risques. Concrètement, chaque anomalie relevée donne lieu à une action, un responsable et une échéance, consignés dans un tableau de suivi. Ce tableau est la preuve que le contrôle produit des effets ; c’est aussi le premier document qu’un auditeur demande.
Le cas des groupes et des réseaux
Lorsque l’assujetti appartient à un groupe dont l’entreprise mère a son siège en France, celle-ci définit l’organisation et les procédures au niveau du groupe et veille à leur respect (article L. 561-32). Le contrôle interne doit alors couvrir les entités du groupe, et les responsabilités entre la tête de groupe et les entités doivent être écrites.
Questions fréquentes
Un professionnel exerçant seul doit-il avoir un contrôle interne ?
L’obligation s’applique à tous les assujettis, dans une forme adaptée à leur taille. Pour un professionnel seul, elle se traduit par des contrôles formalisés sur ses propres dossiers et, lorsque c’est approprié, par un regard extérieur périodique.
Le contrôle périodique peut-il être confié à un prestataire ?
Le texte demande des personnes dédiées et indépendantes des services contrôlés. Un cabinet extérieur répond à cette exigence d’indépendance ; la responsabilité du dispositif reste celle de l’assujetti.
À quelle fréquence réaliser un contrôle périodique ?
Le texte ne fixe pas de fréquence pour les professions non bancaires. Elle se détermine selon les risques : une revue annuelle est courante lorsque l’activité comporte des prestations à risque élevé.
Qui est concerné par ces obligations ?
Voir notre article sur les professions assujetties à la LCB-FT. Les lignes directrices applicables sont publiées par les autorités de contrôle et par Tracfin.
Conclusion
Le contrôle interne LCB-FT est ce qui sépare un dispositif déclaratif d’un dispositif démontrable. Pour les professions non bancaires, la réglementation n’impose pas une organisation lourde : elle impose des contrôles réels, tracés, suivis d’effets, et un regard indépendant lorsque la taille ou les risques le justifient. Paris Ouest Audit réalise ce contrôle périodique dans le cadre de sa mission d’audit LCB-FT hors secteur bancaire.