4.1 Politiques et procédures internes

Les établissements de crédit et les établissements financiers devraient mettre en place et tenir à jour des politiques et procédures visant à s’acquitter de leurs obligations au titre de l’article 13, paragraphe 1, points a) et c), de la directive (UE) 2015/849 en cas d’entrée en relation d’affaires avec le client à distance. Ces politiques et procédures devraient être adaptées au risque et comprendre au minimum:

• a) une description générale de la solution que les établissements de crédit et les établissements financiers ont mise en place pour recueillir, vérifier et enregistrer des informations tout au long du processus d’entrée en relation d’affaires à distance. Celle-ci devrait comporter une explication des fonctionnalités et du fonctionnement de la solution;
• b) les situations dans lesquelles la solution d’entrée en relation d’affaires à distance peut être utilisée, en tenant compte des facteurs de risque identifiés et évalués conformément à l’article 8, paragraphe 1, de la directive (UE) 2015/849 et, dans l’évaluation du risque à l’échelle de l’entreprise, en incluant une description des catégories de clients, produits et services éligibles pour l’entrée en relation d’affaires à distance;
• c) les étapes qui sont entièrement automatisées et celles qui nécessitent une intervention humaine;
• d) les contrôles en place pour s’assurer que la première transaction avec un client avec lequel un établissement est récemment entré en relation d’affaires est exécutée seulement une fois que toutes les mesures initiales de vigilance à l’égard de la clientèle ont été appliquées;
• e) une description des programmes d’intégration et de formation régulière pour s’assurer que le personnel est sensibilisé et dispose de connaissances à jour quant au fonctionnement de la solution d’entrée en relation d’affaires à distance, aux risques associés et aux politiques et procédures d’entrée en relation d’affaires à distance destinées à atténuer ces risques.

Lorsqu’elles sont mises en œuvre, ces politiques et procédures devraient permettre aux établissements de crédit et aux établissements financiers de garantir la conformité aux dispositions visées aux sections 4.2 à 4.7 des présentes orientations.

4.1.2 Gouvernance

En complément des dispositions énoncées à la section 4.2.4 des orientations de l’ABE sur le responsable du contrôle du respect des obligations en matière de LBC/FT,¹ , le responsable de la conformité en matière de LBC/FT² devrait, dans le cadre de sa mission globale, élaborer des politiques et procédures afin de satisfaire aux exigences en matière de vigilance à l’égard de la clientèle, et veiller à ce que les politiques et procédures d’entrée en relation d’affaires à distance soient mises en œuvre efficacement, examinées régulièrement et modifiées si nécessaire.

¹ Orientations concernant les politiques et procédures relatives à la gestion du respect des obligations et le rôle et les responsabilités du responsable du contrôle du respect des obligations en matière de LBC/FT au titre de l’article 8 et du chapitre VI de la directive

² Conformément aux critères de proportionnalité énoncés à la section 4.2.2 des orientations à destination des responsables de la conformité

L’organe de direction de l’établissement de crédit et de l’établissement financier devrait approuver les politiques et procédures d’entrée en relation d’affaires à distance et veiller à leur bonne application.

4.1.3 Évaluation de la solution d’entrée en relation d’affaires à distance préalablement à sa mise en œuvre

Lorsqu’ils envisagent d’adopter une nouvelle solution d’entrée en relation d’affaires à distance, les établissements de crédit et les établissements financiers devraient réaliser une évaluation de la solution préalablement à sa mise en œuvre.

Les établissements de crédit et les établissements financiers devraient définir dans leurs politiques et procédures les exigences relatives au champ d’application, aux différentes étapes et à la conservation des données de cette évaluation préalable, laquelle devrait inclure au minimum:

• a) une évaluation du caractère adéquat de la solution du point de vue de l’exhaustivité et de l’exactitude des données et des documents à recueillir, ainsi que de la fiabilité et de l’indépendance des sources d’informations qu’ils utilisent;
• b) une évaluation de l’incidence du recours à la solution d’entrée en relation d’affaires à distance sur les risques à l’échelle de l’entreprise, notamment les risques en matière de LBC/FT, les risques opérationnels, les risques de réputation et les risques juridiques;
• c) l’identification d’éventuelles mesures d’atténuation et actions correctrices pour chaque risque identifié par l’évaluation prévue au point b);
• d) des tests permettant d’évaluer les risques de fraude, notamment les risques d’usurpation d’identité et autres risques liés aux technologies de l’information et de la communication («TIC») et à la sécurité, conformément au paragraphe 43 des orientations de l’ABE relatives à la gestion des risques liés aux TIC et à la sécurité;
• e) des essais de bout en bout du fonctionnement de la solution ciblant le(s) client(s), produit(s) et service(s) identifiés dans les politiques et procédures d’entrée en relation d’affaires à distance.

Les établissements de crédit et les établissements financiers devraient considérer que les critères indiqués au paragraphe 14, points a), d) et e), sont remplis, si la solution utilise l’un des moyens suivants:

• a) des schémas d’identification électronique notifiés conformément à l’article 9 du règlement (UE) n° 910/2014 et satisfaisant aux exigences en matière de niveaux de garantie «substantiel» ou «élevé» conformément à l’article 8 dudit règlement;
• b) des services de confiance qualifiés au sens du règlement (UE) n° 910/2014, en particulier le chapitre III, section 3, et l’article 24, paragraphe 1, alinéa 2, point b), dudit règlement.

Les établissements de crédit et les établissements financiers devraient être en mesure de justifier auprès leur autorité compétente des évaluations qu’ils ont réalisées avant la mise en œuvre de la solution d’entrée en relation d’affaires à distance, du résultat de ces évaluations et du caractère approprié de l’utilisation de cette solution au regard des risques en matière de LBC/FT identifiés pour les différents types de clients, services, zones géographiques et produits concernés.

Les établissements de crédit et les établissements financiers devraient commencer à utiliser une solution d’entrée en relation d’affaires à distance seulement après s’être assurés que celle-ci pourra être intégrée au système de contrôle interne plus général de l’établissement, ce qui permettra ainsi à l’établissement de gérer de manière adéquate les risques en matière de LBC/FT pouvant résulter de l’utilisation de la solution d’entrée en relation d’affaires à distance.

4.1.4 Suivi permanent de la solution d’entrée en relation d’affaires à distance

Les établissements de crédit et les établissements financiers devraient assurer un suivi permanent de la solution d’entrée en relation d’affaires à distance aux fins de vérifier qu’elle fonctionne conformément aux attentes des établissements de crédit et des établissements financiers. Ils devraient compléter leurs politiques et procédures énoncées au paragraphe 9, avec au moins une description des éléments suivants:

• a) les mesures mises en œuvre pour s'assurer de la qualité, l’exhaustivité, le caractère adéquat et l’exactitude des données recueillies pendant le processus d’entrée en relation d’affaires à distance, lesquelles devraient être adaptées aux risques en matière de LBC/FT auxquels l’établissement de crédit ou l’établissement financier est exposé;
• b) l’étendue et la fréquence de ces examens réguliers; et
• c) les circonstances qui déclencheront des examens ponctuels, lesquels devraient inclure au minimum:
• a. des changements relatifs à l’exposition de l’établissement de crédit et de l’établissement financier au risque en matière de LBC/FT;
• b. des défaillances concernant le fonctionnement de la solution détectées au cours des activités de suivi, d’audit ou de supervision;
• c. la perception d'une augmentation des tentatives de fraude;
• d. des modifications du cadre juridique ou réglementaire.

Les établissements de crédit et les établissements financiers devraient indiquer dans leurs procédures et processus les mesures correctrices à mettre en œuvre lors de l’apparition d’un risque ou l’identification d’erreurs ayant une incidence sur l’efficience et l’efficacité de la solution d’entrée en relation d’affaires à distance. Ces mesures devraient inclure au minimum:

• a) un examen de toutes les relations d’affaires concernées, pour déterminer si les établissements de crédit et les établissements financiers ont fait preuve d’une vigilance suffisante à l’égard de la clientèle lors de l’entrée en relation d’affaires, afin de se conformer à l’article 13, paragraphe 1), points a), b) et c), de la directive anti-blanchiment. Les établissements de crédit et les établissements financiers devraient examiner en priorité les relations d’affaires présentant le risque le plus élevé en matière de LBC/FT;
• b) en tenant compte des informations obtenues dans le cadre de l’examen susmentionné, une évaluation ayant pour but de déterminer si la relation d’affaires concernée devrait:
• a. faire l’objet de mesures de vigilance supplémentaires;
• b. lorsque la législation nationale le permet, faire l’objet de restrictions telles que des limites concernant le volume de transaction, jusqu’à ce qu’un réexamen ait lieu;
• c. être rompue;
• d. être signalée à la CRF;
• e. être classée dans une catégorie de risque différente.

Les établissements de crédit et les établissements financiers devraient déterminer le moyen le plus efficace de vérifier le caractère adéquat et la fiabilité des solutions d’entrée en relation d’affaires à distance. Ils devraient envisager notamment un ou plusieurs des moyens suivants:

• i. tests d’assurance qualité;
• ii. alertes et notifications automatisées de criticité;
• iii. rapports réguliers de qualité automatisés ;
• iv. analyse d’échantillons;
• v. examens manuels.

La présente section s’applique également lorsque sont utilisées des solutions d’entrée en relation d’affaires à distance entièrement automatisées, fortement dépendantes d’algorithmes automatisés, sans intervention humaine ou avec une intervention humaine limitée.

Les établissements de crédit et les établissements financiers devraient être en mesure de démontrer à leur autorité compétente que des examens ont été réalisés et qu’ils ont mis en œuvre des mesures correctrices pour remédier aux défaillances identifiées sur toute la durée de vie de la solution d’entrée en relation d’affaires à distance.