Rédaction WEB : JUST DEEP CONTENT

Le point sur la 6ème Directive et la refonte du Règlement (UE) 2015/847, dernières pièces du package européen de LCB-FT présenté par la Commission européenne.

Les deux Règlements européens présentés dans nos précédents articles (instituant une nouvelle Autorité de LCB-FT et renforçant la prévention de l’utilisation du système financier aux fins de BC-FT), ne permettront pas à eux seuls d’épuiser l’intégralité des déficiences structurelles dont souffre le dispositif européen de LCB-FT (Lutte contre le Blanchiment et Financement du Terrorisme). Pour y parvenir, la Commission propose :

• l’adoption d’une 6ème Directive, venant abroger la Directive (UE) 2015/849 modifiée ; Cette nouvelle Directive intègrera les dispositions qui ne peuvent s’appliquer directement sous la forme d’un règlement et qui touchent principalement à l’organisation du système institutionnel de LCB-FT au niveau national

• une refonte du Règlement (UE) 2015/847 modifié, visant à étendre les règles relatives aux informations accompagnant les transferts de fonds à certains crypto-actifs, viendra parachever le dispositif envisagé par la Commission.

La 6ème Directive (à ne pas confondre avec la Directive (UE) 2018/1673 parfois improprement désignée comme telle) ne se contentera pas de transférer les obligations déjà existantes dans la Directive (UE) 2015/849 modifiée. Elle introduira également des modifications de fond, en premier lieu concernant l’évaluation des risques et l’extension du champ d’application des règles LCB-FT.

SOMMAIRE

• Evaluation des risques et extension des règles LCB-FT à d’autres secteurs
• Un renforcement des obligations relatives au registre des bénéficiaires effectifs et des pouvoirs de l’entité en charge du registre
• Une clarification des missions et des pouvoirs des CRF
• De nouvelles dispositions en matière de surveillance
• L’extension des règles accompagnant les transferts de fonds à certains transferts de crypto-actifs
• 6ème directive et révision du règlement (UE) 2015/847 : calendrier et impacts attendus
• La consolidation à venir du paquet législatif

évaluation des risques et extension des règles lcb-ft à d’autres secteurs

La 6ème Directive prévoit un allongement de la fréquence d’évaluation des risques mais aussi une extension possible à d’autres secteurs présentant des risques de blanchiment de capitaux et de financement du terrorisme (BC-FT).

l’évaluation supranationale et nationale des risques

La Directive (UE) 2015/849 modifiée prévoit une fréquence bisannuelle pour l’évaluation supranationale des risques. Cette fréquence ayant été jugée excessive par la Cour des comptes européenne, l’évaluation supranationale et nationale des risques sera révisée tous les quatre ans.

En termes de contenu, les évaluations supranationale et nationale des risques s’étendront aux risques liés à la non-exécution et au contournement des sanctions financières ciblées en matière de financement de la prolifération. Elles contiendront donc des informations utiles pour les entités soumises à cette même obligation.

une procédure pour l’extension des règles lcb-ft à d’autres secteurs

Lorsque l’évaluation nationale des risques révèle que des secteurs particuliers présentent des risques de BC-FT, un État membre pourra étendre le champ d’application des règles LCB-FT à ces secteurs.

Si cette faculté existait déjà pour les États membres, celle-ci est désormais encadrée. Elle devra faire l’objet d’une notification préalable à la Commission qui disposera d’un délai de six mois pour émettre un avis circonstancié sur cette mesure.

Cet avis tiendra compte des risques identifiés et des obstacles que cette mesure pourrait poser à la libre circulation des services ou des capitaux ou à la liberté d’établissement des prestataires de services au sein du marché intérieur. Par souci de transparence, une liste consolidée des secteurs auxquels les États membres ont étendu les exigences du Règlement européen sera tenue par la Commission.

Dans l’hypothèse où le secteur en question présente des risques susceptibles de concerner l’ensemble du marché intérieur, la Commission pourra proposer que l’extension envisagée s’applique à l’ensemble des États membres, ce qui permettra d’éviter des phénomènes de « forum shopping ».

Cette volonté d’assurer une cohérence dans l’ensemble du marché intérieur transparaît également dans les dispositions relatives au registre des bénéficiaires effectifs.

un renforcement des obligations relatives au registre des bénéficiaires effectifs et des pouvoirs de l’entité en charge du registre

La proposition de Directive renforce les obligations propres aux registres et aux mécanismes relatifs aux bénéficiaires effectifs, aux comptes bancaires et aux biens immobiliers. Nous nous focaliserons ici sur le registre des bénéficiaires effectifs et les pouvoirs des entités qui en assurent la gestion.

le registre des bénéficiaires effectifs : un cadre renforcé

Dans ce domaine, la Commission européenne sera habilitée à définir, par un acte d’exécution, le format à utiliser pour la communication des informations relatives au bénéficiaire effectif. Cet acte d’exécution permettra de garantir une meilleure lisibilité des informations fournies dans les différents registres nationaux.

En cas de doute sur l’exactitude des informations relatives aux bénéficiaires effectifs, les États membres pourront exiger que des renseignements supplémentaires soient demandés, notamment les délibérations et comptes rendus de réunions du conseil d’administration, les accords de partenariat, les contrats de fiducie, les procurations ou tout autre accord contractuel et document connexe.

Lorsqu’il n’y a aucun bénéficiaire effectif à déclarer, ou lorsque le ou les bénéficiaires effectifs n’ont pu être identifiés ou vérifiés, l’entité soumise à cette obligation devra fournir une déclaration accompagnée d’une justification sur cette situation.

En cas de divergence constatée entre les informations figurant sur le registre des bénéficiaires effectifs et la réalité observée, les entités assujetties et les autorités compétentes devront signaler cette divergence dans les 14 jours calendaires suivant cette détection. Les gestionnaires de ces registres disposeront également de pouvoirs pour s’assurer de la vraisemblance des informations fournies.

un accroissement des pouvoirs des gestionnaires du registre

De leur côté, les gestionnaires seront habilités à procéder à des vérifications, lesquelles peuvent inclure des enquêtes sur site dans les locaux ou au siège statutaire de l’entité assujettie, afin de déterminer les bénéficiaires effectifs actuels et de vérifier l’exactitude, l’adéquation et l’actualité des informations transmises.

Lorsqu’ils découvrent des faits susceptibles d’être liés au BC-FT, les gestionnaires seront également habilités à en informer la CRF (Cellule de Renseignement Financier), dont les missions et les pouvoirs sont également clarifiés au travers de cette proposition de Directive.

une clarification des missions et des pouvoirs des crf

Meilleur accès aux informations, pouvoirs accrus en cas de déclaration de transaction suspecte : la 6ème Directive renforce les pouvoirs des CRF.

accès à l’information et retour d’information

Sur ce point, une disposition importante vise à remédier à l’un des constats dressés par la Commission, selon lequel les CRF ne disposent pas d’un accès égal aux informations.

La directive prévoit dorénavant expressément une liste minimale d’informations de nature financière, administrative ou répressive, auxquelles les CRF devront pouvoir accéder.

Elle comporte également des dispositions visant à assurer un retour d’informations entre les CRF, les autorités compétentes et les entités assujetties. Vis-à-vis de ces dernières, les CRF seront tenues de fournir, au moins une fois par an, un retour aux entités assujetties sur l’utilisation des déclarations d’opérations ou d’activités suspecte.

Ce retour d’information portera notamment sur la qualité des informations fournies, la ponctualité du rapport, la description des soupçons et la documentation fournie.

Dans le contexte des déclarations de transactions suspectes, la proposition de Directive renforce également les pouvoirs des CRF.

des pouvoirs renforcés en cas de déclaration à la crf

La proposition législative étend et encadre plus avant dans le temps les pouvoirs des CRF en présence d’une transaction suspecte.

Dans les 48 heures suivant la réception d’une déclaration de transaction suspecte, la CRF sera ainsi habilitée :

• à suspendre ou à refuser l’exécution d’une transaction, pendant une période maximale de 15 jours civils à compter du jour de l’imposition de cette suspension à l’entité assujettie (le délai de principe est actuellement de dix jours ouvrables en France (Code monétaire et financier, Art. L. 561-24)

• à suspendre dorénavant l’utilisation d’un compte bancaire ou de paiement, lorsque plusieurs transactions impliquent un compte bancaire ou de paiement, pendant une période maximale de cinq jours à compter du jour de l’imposition de la suspension (sous réserve d’une prolongation supplémentaire autorisée par l’autorité judiciaire compétente).

Pour pallier le vide actuel entourant les délais de réponse entre les CRF, estimés en pratique à un mois en moyenne, la proposition de Directive entend encadrer dans le temps les échanges d’information.

Un délai de principe de sept jours est ainsi fixé pour répondre à une demande d’information émanant d’une CRF. Ce délai peut être réduit à 24 heures en cas d’urgence et porté à quatorze jours dans des cas exceptionnels dûment justifiés.

Ces délais, à mettre en regard avec ceux définis pour les entités assujetties, pourraient se répercuter de manière indirecte sur ces dernières, sommées, par l’intermédiaire de leur CRF, de répondre rapidement à des demandes émanant de CRF étrangères.

Enfin, sous la coordination et le soutien de l’Autorité, les cellules de renseignement financier constitueront le cas échéant des équipes afin de conduire des analyses communes de transactions ou d’activités suspectes.

Au-delà des pouvoirs dévolus aux CRF, la proposition de Directive vient également renforcer la surveillance des entités assujetties.

de nouvelles dispositions en matière de surveillance

La 6ème Directive renforce le dispositif de surveillance et les moyens de sanctions à l’encontre des entités assujetties. Elle prévoit également des mesures spécifiques pour certains secteurs à risque.

une surveillance renforcée par la 6ème directive

Comme la proposition de Règlement instituant l’Autorité de LCB-FT (l’Autorité) le prévoit, cette dernière élaborera des projets de normes techniques de réglementation pour établir une méthode d’évaluation et de classification des risques des entités assujetties. L’Autorité établira également des orientations pour déterminer les caractéristiques d’une surveillance reposant sur une approche par les risques.

L’Autorité définira par ailleurs les indicateurs et critères à prendre en compte pour définir le niveau de gravité des infractions, fixer le niveau des sanctions ou déterminer les mesures administratives.

Si la proposition de Directive relève le montant maximal de la sanction pécuniaire de 5 à 10 millions d’euros pour les établissements de crédit ou financier, cette disposition n’aura pas d’impact en France où ce montant peut déjà atteindre 100 millions d’euros (Code monétaire et financier, Art. L. 612-39).

Pour améliorer la surveillance au niveau des groupes, la proposition de Directive fixe également à grands traits les conditions d’organisation et les missions des collèges de surveillance dont le cadre avait été initialement établi par les lignes directrices publiées par les Autorités Européennes de Surveillance.

Elle prévoit aussi des mesures spécifiques pour faire face aux risques propres à certains secteurs d’activité.

des mesures spécifiques à l’encontre de certains secteurs

En premier lieu, pour garantir une certaine cohérence en matière de surveillance sur l’ensemble des entités assujetties, l’activité des organismes d’autorégulation se voyant confier la surveillance de certains secteurs sera désormais soumise à la supervision d’une autorité publique.

En second lieu, pour certaines entités assujetties (à l’exclusion cependant des établissements de crédit et établissements financiers), les superviseurs n’exigeront plus seulement que les membres d’un niveau élevé de la hiérarchie fassent preuve d’honnêteté et d’intégrité : ces exigences seront également étendues aux bénéficiaires effectifs de ces entités.

La proposition de Directive prévoit en effet que les États membres veillent à ce que les bénéficiaires effectifs qui ont été condamnés pour blanchiment de capitaux, une infraction sous-jacente ou financement du terrorisme, puissent en être dissociés. Le cas échéant, les États membres octroieront ainsi aux autorités nationales de surveillance le pouvoir de demander que les bénéficiaires effectifs cèdent la participation qu’ils détiennent.

Last but not least, la proposition de Directive donne également la possibilité aux États membres d’exiger de la part des émetteurs de monnaie électronique, des prestataires de services de paiement et des prestataires de services sur crypto-actifs qu’ils désignent un point de contact central lorsqu’ils sont établis sur leur territoire sous une autre forme qu’une succursale et que le siège social est situé dans un autre État membre. Ces points de contacts seront chargés de veiller au respect des règles LCB-FT et de faciliter la supervision des autorités de surveillance.

Pour les prestataires de services sur crypto-actifs, l’un des impacts les plus significatifs du paquet législatif concerne les informations devant accompagnant les transferts de crypto-actifs.

l’extension des règles accompagnant les transferts de fonds à certains transferts de crypto-actifs

L’extension de la règlementation sur les transferts de fonds, en particulier la « travel rule », s’imposera dorénavant aux transferts de crypto-actifs.

l’élargissement nécessaire du règlement (ue) 2015/847 modifié aux transferts de crypto-actifs

Pour prévenir et détecter l’utilisation de transferts de fonds à des fins de BC-FT, le Règlement (UE) 2015/847 modifié repose sur un régime différencié d’obligations selon la position du prestataire de services de paiement (PSP) dans la chaîne de transaction (qu’il s’agisse du PSP du donneur d’ordre, du bénéficiaire ou d’un PSP intermédiaire).

L’objectif visé par le Règlement est de s’assurer que les informations sur le donneur d’ordre et le bénéficiaire figurent dans les messages de paiement. Le Règlement étant limité aux « transferts de fonds », définis comme « les billets de banque et les pièces, la monnaie scripturale ou la monnaie électronique », une refonte de ce Règlement s’impose pour l’étendre aux cas de transferts de crypto-actifs.

l’extension de la « travel rule » aux transferts de crypto-actifs

L’extension du Règlement concernera donc les prestataires de services sur crypto-actifs lorsque ses opérations (en monnaie fiat ou en crypto-actifs) consistent en un virement électronique ou un transfert de crypto-actifs entre ce prestataire et une autre entité assujettie.

A la différence des transferts de fonds, tous les transferts de crypto-actifs seront considérés comme transfrontaliers (sans distinction du point de savoir s’ils ont lieu dans un seul pays, au sein du marché intérieur ou entre plusieurs pays). La philosophie générale du Règlement, consistant initialement en un partage de responsabilité entre le PSP du donneur d’ordre ou du bénéficiaire (travel rule), est maintenue.

Ainsi, le prestataire de services sur crypto-actifs de l’initiateur devra :

• s’assurer que les transferts de crypto-actifs sont accompagnés :
  •  du nom de l’initiateur
  •  du numéro de compte de l’initiateur lorsque ce compte existe et est utilisé pour la transaction
  •  de l’adresse
  • du numéro du document d’identité officiel
  •  du numéro d’identification du client ou de la date et du lieu de naissance de l’initiateur

•  s’assurer que les transferts de crypto-actifs sont accompagnés :
  • du nom du bénéficiaire
  • du numéro de compte du bénéficiaire, lorsque ce compte existe et est utilisé pour la transaction.

De son côté, le prestataire de services sur crypto-actifs du bénéficiaire devra appliquer des procédures efficaces :

• pour vérifier si les informations sur l’initiateur accompagnent le transfert de crypto-actifs ou le suivent

• pour détecter, y compris le cas échéant par un contrôle a posteriori ou en temps réel, l’absence éventuelle des informations requises sur l’initiateur ou le bénéficiaire

• pour déterminer s’il y a lieu d’effectuer, de rejeter ou de suspendre un transfert qui n’est pas accompagné des informations complètes requises sur l’initiateur et le bénéficiaire et pour prendre les mesures de suivi qui s’imposent.

Le prestataire de services sur crypto-actifs du bénéficiaire devra évaluer, en cas d’informations manquantes ou incomplètes sur l’initiateur ou le bénéficiaire, si les transferts sont suspicieux et doivent être reportés à la CRF. Les prestataires de services de crypto-actifs devront conserver les informations pendant une durée de cinq ans.

Pour éviter de voir des transactions basculer dans la clandestinité en raison d’obligations trop strictes, une approche par les seuils est retenue, avec un régime allégé pour les transferts de crypto-actifs dont le montant, pris individuellement ou cumulé à d’autres transferts liés, n’excède pas 1.000€.

Dans l’ensemble, l’implémentation de la travel rule aux transferts de crypto-actifs aura un impact substantiel pour les prestataires de services concernés.

Source : Karim DJEDID pour l’ESBanque

6ème directive et revision du règlement (UE) 2015/847 : calendrier et impacts attendus

La proposition de Directive et la proposition de refonte du Règlement entreront en vigueur le vingtième jour suivant celui de sa publication au JOUE.

La Directive n’étant pas d’application directe, les États membres disposeront d’un délai de trois ans après son entrée en vigueur pour transposer ses dispositions. En raison des échéances annoncées par la Commission pour la mise en place et le démarrage de l’activité de l’Autorité, il est probable que sa publication au JOUE ait lieu au plus tard en 2023, de façon à s’assurer que sa transposition par les États membres soit complète en 2026.

Touchant principalement à l’organisation du système institutionnel de LCB-FT, les impacts de la proposition de Directive devraient être plus mesurés pour les entités assujetties.

Parmi ceux-ci, les délais imposés par la CRF en matière d’échanges d’information et la faculté pour elle de geler un compte bancaire ou de paiement se traduiront le cas échéant par une revue du dispositif de reporting à la CRF ou une extension des cas de gel de compte à ce type de situation.

Le choix de la Commission d’étendre le régime du Règlement (UE) 2015/847 modifié aux prestataires de services sur crypto-actifs, conformément aux standards du GAFI, n’ira pas sans poser un certain nombre de challenges opérationnels et techniques pour certains d’entre eux, faute de solution technologie globale qui puisse satisfaire aux obligations de la travel rule.

Il est à noter que les obligations prévues dans la proposition de refonte ne s’appliqueront pas aux transferts n’impliquant pas ces prestataires, comme les transferts entre portefeuilles cryptographiques auto-hebergés. C’est un des angles morts du nouveau dispositif LCB-FT.

la consolidation à venir du paquet legislatif

Destiné à remédier aux déficiences structurelles que la cinquième directive n’avait pas traitées en son temps, le paquet législatif de la Commission renforce plutôt qu’il ne révolutionne le cadre LCB-FT actuel.

S’il va nécessairement se traduire par une adaptation du programme LCB-FT des entités assujetties, ces efforts n’auront par hypothèse pas la même amplitude que ceux ayant été précédemment entrepris lors de réformes précédentes, notamment à l’occasion du passage de la deuxième à la troisième Directive.

Source : Karim DJEDID pour l’ESBanque

A la date de rédaction de cet article, le contenu du paquet législatif n’est pas encore définitivement arrêté et doit encore être négocié. Il faut également noter qu’une fois adopté, ce corpus de règles uniques (Single Rulebook) ne sonnera pas nécessairement la fin de l’activité législative européenne en matière de LCB-FT. La Commission a par exemple déjà annoncé la révision prochaine de la Directive (UE) 2019/1153.

Le paquet législatif lui-même contient toute une batterie de dispositions prévoyant l’adoption ultérieure de mesures d’application de niveau 2 et de textes de niveau 3.

Cela concernera, entre autres : les variables et les facteurs de risques à prendre en compte pour nouer des relations d’affaires ou exécuter des transactions occasionnelles, la liste établie par la Commission des pays tiers à haut risque ou dont les dispositifs de LCB-FT présentent des faiblesses en matière de conformité, les seuils déclencheurs de mesures de vigilance en cas de transactions occasionnelles, les critères d’identification des personnes connues pour être associées à des PPEs, le format à utiliser pour les déclarations de transactions suspectes, les conditions dans lesquelles le recours ou la sous-traitance à un tiers peut avoir lieu ainsi que les rôles et responsabilités des parties prenantes…

Enfin, le Single Rulebook fera lui-même l’objet d’un réexamen périodique. La 6ème Directive et le Règlement relatif à la prévention de l’utilisation du système financier aux fins du BC-FT devront faire l’objet d’un réexamen et d’une évaluation dans un délai de cinq ans à compter de leur application, puis tous les trois ans.

La Commission fournira notamment, au plus tard dans les trois ans suivant la date d’application du Règlement, un rapport sur un abaissement éventuel du pourcentage utilisé pour l’identification des bénéficiaires effectifs ou de la limite applicable aux paiements en argent liquide d’un montant élevé. La Commission évaluera les résultats de l’Autorité par rapport à ses objectifs, son mandat, ses missions et sa localisation au plus tard le 31 décembre 2029 et tous les cinq ans par la suite.

Les années qui viennent promettent une nouvelle fois d’être intenses en matière de production normative.

 Sources : 

• Proposal for a Directive of the European Parliament and of the Council on the mechanisms to be put in place by the Member States for the prevention of the use of the financial system for the purposes of money laundering or terrorist financing and repealing Directive (EU) 2015/849

• Proposal for a Regulation of the European Parliament and of the Council on information accompanying transfers of funds and certain crypto-assets (recast)

• Regulation (EU) 2015/847 of the European Parliament and of the Council of 20 May 2015 on information accompanying transfers of funds and repealing Regulation (EC) No 1781/2006

• Directive (EU) 2015/849 of the European Parliament and of the Council of 20 May 2015 on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing, amending Regulation (EU) No 648/2012 of the European Parliament and of the Council, and repealing Directive 2005/60/EC of the European Parliament and of the Council and Commission Directive 2006/70/EC

• EU Commission, Commission Staff Working Document, Impact assessment accompanying the Anti-money laundering package, 2021

• Code monétaire et financier, Art. L. 561-24

• Code monétaire et financier, Art. L. 612-39

Rédaction WEB : JUST DEEP CONTENT

Les AISP et PISP sont soumis à la règlementation LCB-FT des établissements financiers mais leur activité spécifique nécessite une adaptation particulière. Explications

La DSP2 (Directive Européenne sur les Services de Paiement 2) entérine l’intégration de nouveaux acteurs dans la chaîne de paiement : les Third Party Provider (TPP).

Ces nouveaux établissements de paiement sont généralement des fintechs proposant les services d’accès aux informations bancaires (AISP : Account Information Services Provider) et d’initiation de paiement (PISP : Payment Initiation Services Provider).

Ces établissements, ayant un accès aux données bancaires, sont soumis à la réglementation en matière de Lutte contre le Blanchiment et le Financement du Terrorisme (LCB-FT).

De par leurs activités innovantes, basées sur l’Open Banking et la fluidité des parcours utilisateurs (l’UX, User Experience), ces prestataires de services se doivent de faire preuve d’adaptabilité afin de conformer leurs activités  aux exigences réglementaires. Leur clientèle pouvant être volatile, les AISP et PISP inventent et/ou réinventent la connaissance client et le suivi de la relation d’affaire afin de ne pas perdre leurs utilisateurs avec des parcours d’accompagnement, dits « onboarding », trop lourds.

Le point sur la réglementation applicable aux AISP et PISP en matière de connaissance client et de suivi de la relation d’affaires et son impact sur leurs activités.

SOMMAIRE

• AISP et PISP :  quelle Réglementation LCB-FT ?
• AISP / PISP : une connaissance client spécifique

aisp et pisp :  quelle réglementation lcb-ft ?

Il n’y a pas de réglementation spécifique aux AISP et PISP. Comme les autres professions dans le champ d’application de la réglementation, ils doivent composer entre exigences réglementaires, pratiques de place, guidelines des régulateurs et beaucoup d’imagination !

La réglementation applicable pour les AISP et PISP est donc celle à laquelle tous les établissements financiers sont soumis. Toutefois, le régulateur tend à prendre en compte les spécificités de ces activités notamment dans les dernières orientations sectorielles du 1er mars 2021.

les aisp et psip : la réglementation lcb-ft générale

La 5e Directive Européenne du Parlement européen et du Conseil du 30 mai 2018 relative à la prévention de l’utilisation du système financier aux fins du blanchiment d’argent de capitaux ou le financement du terrorisme (BC/FT) est applicable aux AISP et PISP en leur qualité d’établissement de paiement.

Ces intervenants relèvent de l’article L.561-2 du Code monétaire et financier (CMF), comme établissement de paiement ainsi que du champ d’application des articles L.561-1 et suivants du CMF sur la lutte contre le blanchiment de capitaux et le financement du terrorisme.

Les établissements de paiement devront donc, comme l’ensemble des établissements soumis à la LCB-FT, mettre en place des dispositifs basés sur les exigences suivantes :

• connaissance de la clientèle

• classification des risques BC/FT

• filtrage des clients sur la base des listes de gel des avoirs et de PPE (Personnes Politiquement Exposés) ainsi que les pays sous embargo ou considéré à haut risque par le GAFI (Groupe d’Action Financière)

• détection et le traitement des opérations suspectes

• formation du personnel

les spécificités sectorielles de l’eba du 1er mars 2021

Pour connaître les spécificités des AISP et PISP, il est indispensable de comprendre leurs activités en pratique.

Les AISP (Account Information Services Providers) sont des établissements proposant un service d’accès aux informations sur les comptes bancaires.

Ces établissements accèdent, via des moyens sécurisés mis à disposition par les banques, aux données bancaires disponibles dans les banques en ligne des utilisateurs.

Ces accès leurs permettent d’agréger plusieurs comptes bancaires de banques différentes sur une même interface afin d’avoir une vision complète des comptes bancaires d’une même personne.

En BtoC (Business to Consumer) ce service est proposé directement aux utilisateurs (particulier et/ou professionnel), sous forme d’application, afin qu’ils puissent avoir une vision 360° sur leurs comptes bancaires.

Ces établissements proposent également des fonctionnalités de catégorisation des données bancaires afin d’apporter une vision précise des différents types de dépense, dans un objectif de meilleure gestion des revenus et du budget du client.

Ces établissements peuvent proposer également des astuces et conseils afin d’optimiser les budgets et mettre en relation les utilisateurs avec des partenaires afin d’optimiser certaines dépenses.

En BtoB (Business to Business), les AISP proposent la collecte des données bancaires et leur catégorisation à des experts comptables, à des sociétés de gestion de logiciels comptables sous forme d’API (Application Programming Interface), à des établissements de crédit pour l’obtention de prêt ainsi qu’à des sociétés limitant les cas de fraude aux identifications bancaires (identité, identification bancaire …).

Les PISP (Payment Initiative Services Providers) sont des établissements proposant un service d’initiation d’ordre de paiement.

Ces établissements, via des accès sécurisés mis à disposition par les banques, initient des ordres de paiement que les banques exécutent.

Ces établissements proposent plusieurs types de paiement qui, lorsqu’ils sont conjugués aux services AIS (Account Information Services) permettent d’élaborer des produits différents.

Par exemple, un produit AIS couplé à un produit PIS permettra de proposer un virement sur la liste de bénéficiaire de confiance de la banque. Tandis qu’un produit uniquement PIS est seulement utilisé pour faire du paiement marchand.

Les AISP et PISP sont également appelés TPP (Third Party Providers).

Devant le caractère spécifique de ces établissements, l’EBA (European Banking Authority) a formulé récemment des orientations sectorielles relatives aux facteurs de risques de BC/FT propres aux prestataires de services d’initiation de paiement (PIS, Payment Initiation Services) et d’accès à l’information sur les comptes (AIS, Account Information Services) ( EBA Guidelines du 1er mars 2021).

Ces orientations consacrent en particulier :

• le caractère limité du risque inhérent de BC/FT associé aux activités PIS et AIS compte tenu du fait que ces prestataires n’exécutent pas eux-mêmes d’opérations de paiement et qu’ils ne détiennent pas les fonds des utilisateurs

• l’existence de facteurs de risque spécifiques liés aux clients, aux canaux de distribution et aux pays ou zones géographiques

• l’applicabilité de la notion de « client » aux personnes morales utilisant les services PIS pour leurs clients finaux

• le principe de procédures de vigilance basées sur des typologies tierces ou propres pour la détection de transactions inhabituelles ou suspectes selon les risques qu’elles représentent

• l’applicabilité, lorsque le risque associé à une relation d’affaire est a priori faible, de mesures de vigilance simplifiées à l’égard de la clientèle.

Ces orientations ont été largement appréciées par les TPP (Third Party Provider). Aucun régulateur n’avait apporté autant de précisions sur la déclinaison opérationnelle d’exigences règlementaires.

aisp / pisp : une connaissance client spécifique

Les particularités des AISP et PISP, reprises dans les dernières orientations de l’EBA, ont un impact sur la qualification de la clientèle de manière générale, le processus de connaissance des clients et le suivi des transactions propres aux PISP.

la qualification de la clientèle pour les aisp et les pisp

La qualification de la clientèle d’un TPP dépendra de son business plan, de son positionnement sur le marché et de sa stratégie de distribution.

Les conséquences de la position de marché

En matière de positionnement commercial, les TPP peuvent se situer sur le marché du BtoB et/ou le marché du BtoC.

• En BtoB, il existe deux typologies de clients en fonction du produit :
  • Pour les produits AIS :
    • les utilisateurs finaux, clients de services AIS mis en relation par un client partenaire
    • le client partenaire qui propose à ses clients/utilisateurs la possibilité d’utiliser le service AIS de l’AISP.
  • Pour les produits PIS : seuls les clients partenaires sont considérés comme clients.

En effet, l’EBA, dans ces orientation du 21 mars 2021, a précisé que les utilisateurs finaux PIS, initiant des virements, ne sont pas des clients ( EBA/GL/2021/02, article 18.8).

• En BtoC, les clients sont les utilisateurs de l’application proposant les services AIS et/ou PIS.

Cette première qualification pourra également évoluer en fonction de la distribution des services de paiement.

Les conséquences de la stratégie de distribution des AISP et PISP

La distribution pourra se faire selon plusieurs méthodes : le choix du modèle contractuel ainsi que le canal de distribution.

• Pour les modèles contractuels, il existe plusieurs schémas pouvant impacter la qualification de la clientèle :
  • le modèle “Tiers Utilisateur”, principe standard des établissements de paiement permettant aux AISP d’être mis en relation par un client (BtoB) sans transfert de clientèle, et de conserver son autonomie et sa responsabilité sur son activité.
    L’AISP signe un contrat avec le client « tiers utilisateur » ainsi qu’avec l’utilisateur final. Il a donc deux types de clients : le client partenaire et l’utilisateur final.

• le modèle “agent”:  dans ce cadre, le client partenaire exerce son activité sous la responsabilité et l’agrément de l’AISP. Le client de l’AISP sera donc l’agent ou autrement dit le client partenaire. Les utilisateurs finaux seront les clients de l’agent soumis aux exigences LCB-FT sous la responsabilité de l’AISP.

• le modèle PSEE (Prestataires de Services Essentiels Externalisés) : dans ce schéma, un établissement régulé contractualise avec l’AISP pour une prestation technique. L’AISP agira, sur le périmètre du contrat, sous la responsabilité de l’établissement client régulé. Dans ce modèle, l’établissement régulé est le client de de l’AISP et l’utilisateur final des services AIS est client de l’établissement régulé.

• Pour le canal de distribution, la qualification de client dépendra du moyen de distribution mis en place :
  • soit une distribution en direct,
  • soit une distribution par des intermédiaires qui pourront devoir s’immatriculer à l’ORIAS (Organisme pour le Registre des Intermédiaires en Assurance) en fonction de la méthode de distribution choisie (indication d’affaire/mise en relation ou distribution des produits sous mandat de distribution IOBSP (Intermédiaire en Opération Bancaire et Service de Paiement).

L’une des pratiques de marché actuelle est de passer par des intermédiaires. Dans ce cas, les intermédiaires sont les clients des TPP.

Ces intermédiaires distribuent les produits en tant qu’indicateur d’affaire ou IOBSP à d’autres entreprises qui seront également clientes de l’AISP et qui elles-mêmes proposeront les services à des utilisateurs finaux (entreprise ou consommateurs).

L’utilisateur final pourra être également client de l’AISP en fonction du modèle contractuel choisi.

Les schémas de distribution peuvent être relativement complexes. Cette qualification de la clientèle en fonction du business model est donc indispensable pour identifier les clients ainsi que le niveau de vigilance qui devra être appliqué.

aisp, pisp : les spécificités d’une connaissance digitalisée en vigilance simplifiée

Comme précisé par l’EBA, de par leur activité, les TPP sont en vigilance simplifiée, ce qui permet d’optimiser le processus de connaissance client.

Qu’est-ce que la vigilance simplifiée ?

Les mesures de vigilance à l’égard de la clientèle s’appliquent avant d’entrer en relation d’affaires. Elles portent sur :

• l’identification et la vérification de l’identité du client et, le cas échéant, de son représentant, puis éventuellement du bénéficiaire effectif

• la connaissance de l’objet, de la nature de la relation d’affaires et le recueil de tout autre élément d’information pertinent.

En l’absence de tout soupçon BC/FT, les TPP bénéficient d’une exception à la mise en œuvre de ces obligations, au titre des mesures de vigilance dites « simplifiées », en application du 2° de l’article L. 561-9 du CMF. Les activités PIS et AIS présentent en effet un risque inhérent de BC/FT limité.

Cette exception autorise l’application de mesures de vigilance dites « simplifiées » qui permettent de :

• s’appuyer sur les données d’identification accessibles via les connecteurs bancaires pour prouver l’identité du client, lorsque les coordonnées de son compte de paiement sont connues et que ce compte est détenu auprès d’un établissement réglementé établi dans l’EEE (Espace Economique Européen).

• reporter la vérification de l’identité du client à une certaine date après l’établissement de la relation d’affaires

• présumer la nature et l’objet de la relation d’affaires.

En cas de soupçon, les AISP se devront de mettre en place des mesures d’identification et de vérification adéquates, afin de leur attribuer un niveau de vigilance pertinent en fonction du risque.

 AISP, PISP : un processus de connaissance clients adapté à leur typologie

Les TPP, comme l’ensemble des entreprises soumises à la LCB-FT appliquent la méthode standard :

• identification du client et recueil de la documentation

• vérification de l’identité du client et de filtrage

• revue périodique.

Toutefois, le recueil des informations et la vérification seront spécifiques à la qualification du client, selon qu’il s’agit de clients partenaires professionnels ou de clientèle de détail.

La connaissance des clients partenaires

Pour la connaissance des clients partenaires, le processus de collecte de la documentation, se fera en fonction du produit :

• de manière digitalisée,

• ou manuellement avec des processus de vérification les plus automatisés possibles.

Pour ces clients, la vigilance simplifiée requiert un recueil de pièces, qui pourra se faire a posterori de la contractualisation.

La connaissance de la clientèle de détail

Pour les clients utilisateurs finaux, les mesures de vigilance simplifiées permettent aux AISP et PISP de :

• collecter et s’appuyer sur les données d’identification accessibles via les connecteurs bancaires pour prouver l’identité du client

• reporter la vérification de l’identité du client jusqu’à l’obtention des coordonnées de son compte de paiement

• présumer la nature et l’objet de la relation d’affaires sur la base des conditions générales de ventes soumises à l’approbation de l’utilisateur concernant les services AIS et PIS.

Ce processus digitalisé permet de se baser sur les données considérées comme fiables afin de proposer un KYC (Know Your Costumer) adaptée à l’activité des AISP et les PISP.

les spécificités du suivi des transactions applicables aux pisp

Les PISP sont soumis aux exigences de KYC de leur client partenaire mais également au suivi des transactions bancaires.

Ce suivi des transactions bancaires permet d’identifier les comportements frauduleux pouvant être liés aux blanchiment et financement du terrorisme.

La méthode doit répondre aux exigences des différents régulateurs européen et national, sur le besoin de filtrage des acteurs du paiement ainsi que la pertinence des règles.

Le besoin de filtrage des acteurs du paiement

En matière de transaction, les PISP se doivent en plus de connaitre leurs clients, de détecter les opérations frauduleuses mais aussi de détecter toutes transactions à destination ou émise par une personne ou entité dont les avoirs ont été gelés (Lignes directrices conjointes de la Direction Générale du Trésor et de l’Autorité de contrôle prudentiel et de résolution du 16 juin 2021).

Dans cette orientation, la CCLBFT (Commission consultative de lutte contre le Blanchiment et le financement du terrorisme de l’ACPR) a rappelé qu’une obligation de résultat s’impose aux établissements assujettis sur « la mise en place d’un dispositif qui doit permettre la détection de toute opération au bénéfice des personnes ou entités dont les avoirs sont gelés ».

Pour ce faire, le dispositif doit reposer sur deux critères :

• le caractère exhaustif de la détection de ces opérations

• une mise en œuvre des obligations en matière de gel des avoirs et d’interdiction ne relevant pas d’une approche par les risques.

Les PISP se doivent donc de filtrer les acteurs du paiement selon le registre de gel des avoirs, ce dès le premier euro et en amont de l’envoi de l’ordre à l’établissement bancaire.

Les initiateurs du paiement n’étant pas leurs clients et donc n’ayant pas fait l’objet d’un KYC, les PISP sont dans l’obligation de filtrer le destinataire et le bénéficiaire des paiements.

Ce filtrage engendre un risque de perte de fluidité et d’instantanéité de l’opération qu’il s’agira d’adresser avec habileté, afin de concilier obligation réglementaire et performance du processus de paiement.

La pertinence des règles de détection des transactions atypiques

En plus du filtrage, les PISP ont pour obligation d’identifier les transactions atypiques afin d’être en mesure de détecter les cas de fraude et/ou les cas de blanchiment et de financement du terorrisme.

D’après les orientations sectorielles de l’EBA, les prestataires AIS et PIS doivent a minima considérer les facteurs de risques suivants, comme susceptibles de contribuer à une augmentation du risque :

• un client transfère au même bénéficiaire des fonds provenant de différents comptes de paiement ou reçoit de la part du même donneur d’ordre des fonds sur différents comptes de paiement qui, ensemble, représentent une somme importante sans justification économique ou légitime claire, ou qui donnent au prestataire des motifs raisonnables de soupçonner que le client essaie d’éviter des seuils de contrôle particuliers

• les facteurs de risques liés aux canaux de distribution identifiés dans l’avis conjoint des Autorités Européennes de Surveillance sur l’utilisation de solutions innovantes dans le cadre des mesures de vigilance à l’égard de la clientèle (JC 2017 81), c’est-à-dire liés à l’authentification forte

• un client initie un paiement (PIS) ou reçoit/envoie des fonds (AIS) en provenance ou à destination d’un pays ou territoire associé à un risque plus élevé de BC/FT ou en provenance ou à destination d’un pays tiers à haut risque, ou au bénéfice d’une personne ayant des liens connus avec de tels pays ou territoires, ou bien encore le client relie des comptes de paiement détenus au nom de plusieurs personnes dans plusieurs pays ou territoires.

Les établissements doivent ainsi identifier des règles sur les critères suivants :

• zone géographique

• montants en fonction des sommes qu’ils ont l’habitude d’initier

• fréquence des transactions

• indices spécifiques de fraude qu’ils auraient identifiés (ex: l’adresse IP (Internet Protocol), le device ID (Device identification) pour pouvoir identifier les cas de fraude dites « sim swap »).

Selon ces règles, les processus de contrôle vont :

• générer des alertes a priori

• déclencher un seuil permettant une gestion efficace de ces alertes ( priorisation des alertes et déclenchement d’ astreintes )

• bloquer des transactions en fonction d’une limite de risque préalablement identifiée.

En plus de la détection des alertes a priori, les PISP peuvent également mettre en place des analyses a posteriori afin d’obtenir une cartographie des flux de paiement et identifier de nouveaux scénarios de risques.

Ces deux mécanismes de filtrage et de détection des transactions sont essentiels aux services PIS, tout comme à la connaissance des clients KYC.

Ces dispositifs ont néanmoins des impacts financiers importants pour les établissements, au niveau des ressources humaines pour traiter les alertes, mais aussi des dispositifs techniques à mettre en place. A ces investissements, s’ajoute la potentielle perte d’utilisateurs si les parcours et/ou processus de paiement ne sont pas performants.

Les orientations de l’EBA viennent clarifier le besoin en matière de vigilance sur les activités des AISP et les PISP. Ces orientations sont très appréciées par les professionnels de la conformité car elles apportent des précisions concrètes aux établissements proposant des services innovants.

Toutefois, selon le projet de réforme de la 6ème Directive LCB-FT dont la procédure législative aura lieu pendant la gouvernance française de la commission européenne, les établissements proposant des services d’AIS pourraient être soumis également aux analyses de suivi des transactions.

Aux obligations de connaissance client et de suivi de la relation d’affaire, viendrait ainsi s’ajouter pour les AISP l’analyse des transactions à l’image des PISP.

Le législateur considère en effet que ces établissements, accédant à l’ensemble des informations sur les comptes des personnes, sont en mesure de détecter les potentielles anomalies transactionnelles pouvant être qualifiées de blanchiment et/ou de financement de terrorisme.

Il est vrai que ces établissements seraient en mesure d’avoir une certaine visibilité sur les différents flux bancaires des personnes. Toutefois, cela supposerait de réaliser une analyse financière des transactions de leurs clients, alors que  leur cœur de métier est de proposer des services d’accès aux informations sur les comptes.

Les AISP sont souvent des PME, start-up, proposant des services innovants pour qui la mise en conformité LCB-FT s’est révélée et se révèle être un coût important, entre la perte de l’utilisateur en raison d’un « onboarding  » alourdi, les charges de ressources humaines et les investissements dans les outils permettant de filtrer et de vérifier les identités.

A date, les AISP ont fait parvenir aux régulateurs une note dans ce sens afin de démontrer que le risque est disproportionné par rapport à l’activité d’AIS.

Sources : 

•  Directive (UE) 2018/843 du Parlement européen et du Conseil du 30 mai 2018 modifiant la directive (UE) 2015/849 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme

• Articles L.561-1 et suivants du Code monétaire et financier

• Article L.561-2 du Code monétaire et financier

• Article L. 561-9 du Code Monétaire et Financier

EBA Guidelines du 1^er mars 2021 – EBA/GL/2021/02

• Lignes directrices conjointes de la Direction Générale du Trésor et de l’Autorité de contrôle prudentiel et de résolution sur la mise en œuvre des mesures de gel des avoirs – 16 juin 2021

• Avis conjoint des Autorités Européennes de Surveillance sur l’utilisation des solutions innovatives par les établissements de crédit et institutions financières dans le cadre des mesures de vigilance à l’égard de la clientèle (JC 2017 81)

• Proposal for a REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on the prevention of the use of the financial system for the purposes of money laundering or terrorist financing – COM/2021/420 final