Compliance as a service

Un prestataire de services de conformité exécute des étapes définies du travail que le droit anti-blanchiment et prudentiel confie à une entreprise régulée. Les tâches typiques sont la vérification d'identité à l'entrée en relation, souvent par vidéo-identification ou photo de la pièce d'identité, et le filtrage des clients et des paiements sur les listes de sanctions et de PPE. Beaucoup de prestataires assurent aussi le premier examen des alertes d'un système de monitoring des transactions et clôturent les faux positifs évidents.

Certains prestataires sont le responsable LBC externe d'une petite entreprise ou préparent les déclarations aux superviseurs. Les sociétés d'identification vendent des vérifications unitaires par API, tandis que des groupes comme Ephelia exploitent une unité de conformité pour l'entrée en relation, le monitoring et le reporting à côté de leurs licences et de leur core banking. Une entreprise qui licencie un logiciel et l'exploite avec son propre personnel achète de la regtech, un arrangement différent de la délégation du travail lui-même.

L'article 6(7) de la loi allemande contre le blanchiment (GwG) permet à une entité assujettie de faire exécuter ses mesures internes par un tiers sous contrat, après en avoir informé le superviseur. Les mesures de l'article 6(2) GwG comprennent les politiques et contrôles internes, la nomination du responsable LBC et la formation du personnel. Le superviseur peut interdire l'arrangement si le prestataire n'offre pas de garantie d'exécution correcte ou si le contrôle par l'entreprise ou le superviseur en pâtirait, et la responsabilité reste à l'entreprise.

Les établissements de crédit et de services financiers suivent le même schéma selon l'article 25h(4) de la loi bancaire allemande (KWG), où la BaFin peut ordonner la réintégration d'une mesure externalisée. Pour la vigilance à l'égard de la clientèle, l'article 17 GwG permet de s'appuyer sur certains tiers ou de transférer les vérifications par contrat, et la responsabilité des vérifications reste là encore à l'entreprise. Un responsable LBC externe doit travailler en Allemagne, et l'entreprise déclare sa nomination au superviseur à l'avance, comme l'exige l'article 7 GwG.

Les banques allemandes ont deux rôles de conformité faciles à confondre: le responsable LBC selon la GwG et la fonction conformité selon MaRisk, qui veille aux autres obligations légales et réglementaires de la banque. La circulaire de la BaFin sur les exigences minimales de gestion des risques compte la fonction conformité parmi ses fonctions spéciales, et son module AT 9 fixe des règles plus strictes pour les externaliser.

Une externalisation complète de la fonction conformité n'est permise que pour une filiale d'un groupe bancaire non significative pour le secteur financier national ou au sein du groupe, et pour les petits établissements où une fonction propre ne correspondrait pas à leur taille et à leur activité. Les autres banques peuvent en externaliser des parties, à condition de garder les connaissances pour surveiller le prestataire et de pouvoir poursuivre le travail en fin de contrat. Les tâches de direction du conseil ne peuvent pas être externalisées, et les règles d'externalisation des banques allemandes exigent une analyse des risques qui décide si un arrangement est significatif.

À partir du 10 juillet 2027, l'article 18 du règlement européen anti-blanchiment (AMLR) fixe une règle d'externalisation unique pour toutes les entités assujetties de l'UE. Une entreprise peut externaliser des tâches à un prestataire après en avoir informé son superviseur, mais elle reste pleinement responsable de chaque acte ou omission de ce prestataire et doit pouvoir expliquer comment chaque tâche externalisée atténue ses propres risques. Six tâches ne peuvent jamais être externalisées: l'évaluation des risques à l'échelle de l'entreprise, l'approbation des politiques et contrôles internes, le profil de risque d'un client, la décision d'accepter un client, la déclaration des soupçons à la CRF et l'approbation des critères de détection des transactions suspectes.

Le contrat doit être écrit, le prestataire et tout sous-traitant appliquent les politiques de l'entreprise, et celle-ci contrôle leur travail à des intervalles adaptés à la criticité de la tâche. Un prestataire dans un pays tiers à haut risque n'est admis qu'au sein du même groupe, et les déclarations à la CRF peuvent passer par une autre entité du groupe dans le même État membre. L'autorité européenne AMLA à Francfort doit publier d'ici le 10 juillet 2027 des orientations sur les relations d'externalisation et sur les attentes prudentielles pour les fonctions critiques. Le même paquet LBC de l'UE exige un responsable de la conformité dans l'organe de direction et un compliance officer pour les opérations quotidiennes, et une petite entité de groupe à faible risque peut partager le compliance officer d'une autre société du groupe.

Le filtrage des sanctions demande des listes à jour et doit suivre des paiements réglés en quelques secondes. Depuis le 9 janvier 2025, le règlement (UE) 2024/886 exige des prestataires de services de paiement qui proposent des virements instantanés qu'ils vérifient toute leur clientèle au regard des sanctions financières ciblées de l'UE au moins une fois par jour calendaire et immédiatement après chaque nouvelle inscription. Un prestataire peut exécuter ce traitement quotidien, mais l'obligation repose sur le prestataire de services de paiement, et les règles de sanctions en Allemagne lient la banque qui tient le compte, quel que soit l'exécutant du contrôle.

Le transaction reporting est le cas où la loi transfère une partie de la responsabilité au prestataire. Selon l'article 26(7) MiFIR, une entreprise d'investissement qui déclare via un mécanisme de déclaration agréé n'est pas responsable des défaillances causées par ce mécanisme, mais doit encore prendre des mesures raisonnables pour vérifier les déclarations. Le superviseur suisse a écrit dans son FINMA Risk Monitor 2024 que la responsabilité de la bonne conduite des affaires ne peut pas être déléguée, et il voyait une marge de progrès dans l'identification par les entreprises de toute leur chaîne de prestataires. Quand le service tourne comme logiciel ou dans le cloud, l'entreprise gère aussi le prestataire comme tiers TIC selon DORA.

Le compliance as a service est l'achat de tâches de conformité comme les vérifications d'identité, le filtrage des sanctions, l'examen des alertes ou le reporting réglementaire auprès d'un prestataire externe. L'entreprise régulée garde sa licence et sa responsabilité juridique, tandis que le prestataire fournit logiciel, analystes ou les deux sous contrat écrit. Hors de la finance, le même terme désigne des prestataires IT qui gèrent certifications de sécurité et audits pour leurs clients.

Oui, le droit allemand traite la nomination du responsable LBC comme une mesure interne, qu'une entreprise peut faire exécuter par un tiers après en avoir informé le superviseur selon l'article 6(7) GwG. Le responsable externe doit travailler en Allemagne, et l'entreprise reste responsable du travail. À partir de juillet 2027, l'AMLR confie au compliance officer la déclaration des soupçons à la CRF et la garde dans l'entreprise ou son groupe, donc les futures orientations de l'AMLA décideront de la place des responsables externes.

Oui, un prestataire peut exécuter les étapes du KYC en Allemagne, comme identifier le client, établir le bénéficiaire effectif et collecter les documents. Selon l'AMLR, le profil de risque du client et la décision de l'accepter restent à l'entreprise, qui reste pleinement responsable des vérifications de son prestataire.

La regtech est un logiciel, comme un moteur de filtrage ou un outil de reporting, qu'une entreprise licencie et exploite avec sa propre équipe conformité. Dans le compliance as a service, le prestataire exécute aussi le processus, et l'entreprise achète donc un résultat comme une vérification d'identité terminée ou une alerte examinée. Les deux modèles relèvent des mêmes règles européennes, de l'AMLR à DORA, qui façonnent la regtech en Europe.

L'entreprise régulée répond devant son superviseur, car la GwG, la KWG et l'article 18 AMLR lui laissent la responsabilité même quand le prestataire a commis l'erreur. Tout recours contre le prestataire dépend du contrat, tandis qu'amendes et mesures prudentielles visent l'entreprise. Les déclarations de transactions MiFIR sont la principale exception, car les défaillances causées par un mécanisme de déclaration agréé relèvent de ce mécanisme.