Changer de fournisseur de données PPE et sanctions se prépare en trois décisions. La première porte sur le périmètre : les données seules, le moteur de criblage ou les deux. La deuxième concerne les critères : couverture et fraîcheur des listes, faux positifs, intégration, hébergement et support. La troisième encadre la migration : reprise de l’existant, double exécution sur les mêmes données, puis bascule avec la preuve que le contrôle n’a jamais été interrompu.
Un contrat qui arrive à échéance, des alertes trop nombreuses ou un support qui répond dans une autre langue : les raisons de changer s’accumulent avant même l’ouverture du projet. Le risque lié à la bascule retient toutefois les équipes, car le criblage ne peut pas s’interrompre.
Quand faut-il changer de fournisseur de données PPE et sanctions ?
Trois familles de signaux justifient l’ouverture du projet : les difficultés opérationnelles, les remarques formulées lors d’un audit et le coût réel du dispositif.
Les signaux opérationnels : alertes, mises à jour, support
Le volume d’alertes à traiter manuellement constitue le premier indicateur. Lorsque le taux de faux positifs dépasse ce que vos analystes peuvent instruire dans les délais réglementaires, le moteur ne remplit plus sa fonction. Mesurez le temps moyen d’analyse par alerte : si la moitié de ce temps sert à écarter des homonymies évidentes, le paramétrage n’est plus adapté.
La fraîcheur des listes de sanctions et des bases de personnes politiquement exposées (PPE) se contrôle en comparant les dates de mise à jour affichées avec celles de publication des listes officielles. Pour les sanctions relevant du gel des avoirs, l’écart doit rester le plus court possible, car les mesures de gel s’appliquent sans délai dès leur entrée en vigueur.
Le support technique et réglementaire compte autant que l’outil. Lorsqu’il répond en anglais depuis un fuseau horaire éloigné, sans expertise des textes français, chaque ajustement prend du retard. Notez les délais réels ainsi que la pertinence des réponses apportées.
Les signaux réglementaires : remarques d’un audit ou d’un contrôle
Une remarque formulée lors d’un audit ou d’un contrôle de l’Autorité de Contrôle Prudentiel et de Résolution peut porter sur la couverture des listes, la traçabilité des décisions ou l’explicabilité du moteur. Elle signale alors une non-conformité. Le régulateur exige que l’établissement démontre l’efficacité de son dispositif de lutte contre le blanchiment et le financement du terrorisme (LCB-FT).
Les lignes directrices conjointes de la direction générale du Trésor et de l’ACPR portent sur la mise en œuvre des mesures de gel des avoirs. Elles précisent que l’établissement reste responsable de son dispositif, y compris lorsqu’il recourt à un prestataire.
Les signaux économiques : coût de maintenance et temps d’analyse
Le coût total de possession dépasse largement le prix de la licence. Il inclut le temps consacré au traitement des alertes ainsi que les coûts d’intégration, de maintenance et de support. Lorsque l’analyse de faux positifs mobilise plusieurs équivalents temps plein, le coût réel devient supérieur à celui d’un moteur mieux paramétré. Un moteur qui réduit nettement les faux positifs peut donc coûter plus cher en licence tout en présentant un coût total inférieur.
Fournisseur de données ou moteur de criblage : que changez-vous vraiment ?
Les données et le moteur constituent deux couches distinctes. Les premières regroupent les listes de sanctions et de gel des avoirs ainsi que les bases de PPE. Le second est l’outil qui rapproche les noms, trie les alertes et conserve la piste d’audit.
| Périmètre du changement | Ce qui est remplacé | Ce qui reste en place | Symptôme qui y conduit | Point de vigilance |
| Les données seules | Les listes de sanctions et de gel des avoirs, les bases de PPE | Le moteur de criblage, son paramétrage, l’historique des alertes | Couverture ou fraîcheur des listes jugée insuffisante | Rejouer le criblage du portefeuille avec les nouvelles données avant de résilier les anciennes |
| Le moteur de criblage seul | L’outil qui rapproche les noms, trie les alertes et tient la piste d’audit | Les sources de données, si le nouveau moteur les accepte | Trop d’alertes à traiter, paramétrage rigide, intégration lourde, support éloigné | Vérifier quelles sources de données le nouveau moteur sait exploiter |
| Les données et le moteur | Toute la chaîne de criblage | Les procédures, la classification des risques, les décisions passées | Outil vieillissant, fin de contrat, remarques d’un audit ou d’un contrôle | Double exécution plus longue : deux variables changent en même temps |
Lorsque seules les données changent, le moteur conserve son paramétrage. Vous évitez ainsi de devoir apprendre à utiliser un nouvel outil, mais vous devez vérifier que les nouvelles listes couvrent les mêmes juridictions et catégories de risques.
Changer de moteur sans changer de données suppose que le nouvel outil puisse exploiter les sources actuelles. Certains moteurs acceptent plusieurs fournisseurs, tandis que d’autres sont liés à une seule base. Remplacer simultanément les deux couches allonge la double exécution, car chaque écart peut alors provenir des données ou du moteur.
Quels critères de choix pour un nouveau fournisseur ?
La grille de comparaison en 10 critères pour une solution de criblage détaille l’ensemble des points à examiner. Deux critères distinguent un remplacement d’un premier choix.
Les critères communs à tout choix d’outil
Dix critères s’appliquent à tout projet :
- la couverture des listes ;
- leur fraîcheur ;
- le taux de faux positifs ;
- l’explicabilité des décisions ;
- l’intégration au système d’information ;
- l’hébergement des données ;
- la langue et le fuseau horaire du support ;
- le modèle tarifaire ;
- la fréquence des mises à jour ;
- la veille réglementaire incluse.
La couverture porte sur les listes de sanctions internationales (Nations Unies, Union européenne et OFAC), les listes nationales de gel des avoirs et les bases de PPE. Vérifiez que le fournisseur couvre les juridictions dans lesquelles vous exercez ainsi que les catégories que vous devez détecter.
La fraîcheur se mesure en heures entre la publication officielle et la disponibilité des données dans l’outil. Pour le gel des avoirs, l’ajout doit être immédiat. Pour les PPE, demandez la fréquence de mise à jour.
Le taux de faux positifs dépend de la finesse du paramétrage. Un moteur permettant d’ajuster le rapprochement phonétique, la distance d’édition, les variantes de noms et les filtres géographiques réduit les alertes non pertinentes sans entraîner de perte de couverture.
Les critères propres à un remplacement
La reprise de l’existant distingue un remplacement d’un premier déploiement. Vous devez récupérer le paramétrage actuel, les listes blanches validées, les décisions passées et leur justification, ainsi que l’historique des alertes. Sans cette reprise, vous perdez la traçabilité.
La continuité du contrôle impose une double exécution. L’ancien et le nouveau dispositif fonctionnent en parallèle sur les mêmes données, puis vous comparez leurs résultats avant la bascule. Le délai de réversibilité compte également : si le nouveau dispositif présente un écart inexpliqué après la bascule, vous devez pouvoir revenir à l’ancien sans rupture.
Vers quelle famille de solutions se tourner ?
Trois familles se distinguent par leur mode de déploiement, leur antériorité et leur proximité avec les exigences françaises. Le choix dépend de la taille de votre portefeuille, de votre système d’information et de vos ressources. Un guide dédié aide à choisir entre un éditeur RegTech français et une solution internationale.
| Famille de solutions | Points à examiner pour une migration | Question à poser |
| Suites des éditeurs internationaux historiques | Charge de paramétrage, durée d’intégration, coût de licence et de maintenance, langue du support, lieu d’hébergement des données | Qui paramètre l’outil, depuis où et dans quelle langue le support est-il assuré ? |
| Solutions développées en interne | Coût de maintenance, veille réglementaire à assurer soi-même, dette technique, mise à jour des listes | Qui met à jour les listes et les règles lorsqu’un texte change ? |
| RegTech récentes | Antériorité, tenue en charge sur de gros volumes, références dans des établissements comparables | Quelles références de taille comparable peut-on appeler ? |
Les suites des éditeurs internationaux historiques présentent une couverture large et une robustesse éprouvée. Leur complexité de paramétrage et leur coût d’intégration peuvent néanmoins dépasser les capacités d’une équipe de taille moyenne.
Les solutions développées en interne offrent une maîtrise totale, mais reportent sur l’établissement la charge de la veille réglementaire. Chaque modification de liste doit alors être traduite en code. Les RegTech récentes apportent une intégration plus agile, un support francophone et un hébergement en France, mais disposent d’une antériorité plus courte.
Comment migrer sans rupture de contrôle ?
La migration se conduit en cinq étapes, chacune associée à un livrable et à un point de vigilance. Une règle générale s’impose : la détection ne peut pas s’interrompre.
| Étape | Objectif | Livrable | Point de vigilance |
| 1. Diagnostic de l’existant | Objectiver ce qui ne convient plus | Relevé des limites constatées : alertes, couverture des listes, mises à jour, support | Mesurer sur vos propres données plutôt que sur une impression |
| 2. Cadrage du besoin | Traduire les limites en exigences | Cahier des charges et jeu d’essai tiré de votre base | Associer conformité, informatique et achats dès ce stade |
| 3. Reprise de l’existant | Ne rien perdre du paramétrage ni des décisions | Inventaire des listes, règles, listes blanches et historiques d’alertes à reprendre | Les décisions passées doivent rester consultables |
| 4. Double exécution | Comparer l’ancien et le nouveau dispositif sur les mêmes données | Rapport d’écarts expliqué et validé | Aucun écart de détection inexpliqué avant la bascule |
| 5. Bascule et suivi | Arrêter l’ancien dispositif sans rupture de contrôle | Procès-verbal de bascule, procédures mises à jour, formation des équipes | Conserver l’accès aux archives de l’ancien outil |
Reprendre les données, les règles et les listes blanches
Le paramétrage actuel traduit votre approche par les risques au moyen des seuils de rapprochement, des filtres géographiques, des catégories de PPE surveillées et des listes blanches validées. Il doit être repris dans le nouveau moteur ou recalibré si celui-ci fonctionne différemment.
Les listes blanches recensent les faux positifs récurrents écartés après instruction, notamment les homonymes sans lien avec une PPE, les entités hors périmètre et les erreurs de détection. Ces décisions doivent rester consultables. Demandez dans quel format l’ancien fournisseur restitue ces listes et comment le nouvel outil les reprend.
L’historique des alertes constitue votre piste d’audit et doit être conservé pendant la durée réglementaire. À défaut de reprise technique, gardez un accès en lecture aux archives.
Faire tourner les deux dispositifs en parallèle
La double exécution consiste à faire fonctionner l’ancien et le nouveau dispositif sur les mêmes données, pendant une période suffisante pour comparer les résultats. Alimentez-les avec des flux identiques : extraction quotidienne de la base clients, flux d’entrée en relation et flux de transactions.
Comparez les alertes levées et classez les écarts en trois catégories : celles qui sont détectées par les deux dispositifs, celles qui le sont uniquement par le nouveau et celles qui le sont uniquement par l’ancien. Chaque écart doit être expliqué. Une alerte détectée par le nouveau seul peut résulter d’une meilleure couverture, tandis qu’une alerte détectée par l’ancien seul peut signaler une perte de couverture.
Décider la bascule
La bascule intervient lorsque trois conditions sont réunies : le rapport d’écarts est expliqué et validé, les procédures sont mises à jour et les équipes sont formées. Un procès-verbal acte la date et l’heure de l’arrêt de l’ancien dispositif et du démarrage du nouveau.
Conservez l’accès aux archives de l’ancien outil pendant toute la durée de conservation réglementaire. Un criblage complet de la base au moment de la bascule démontre que le nouveau dispositif couvre tout le portefeuille dès le premier jour.
Quel support francophone attendre pendant et après la migration ?
Le support conditionne la réactivité du dispositif face à une modification de liste, à une remarque d’audit ou à un ajustement de paramétrage. Cinq points doivent être négociés dès le contrat.
La langue et les horaires du support déterminent le délai réel de traitement. Un support qui répond en anglais depuis un fuseau horaire éloigné peut prendre plusieurs jours pour traiter une question sur une liste française. Demandez un accompagnement en français, assuré pendant les horaires de bureau français.
L’interlocuteur doit connaître la conformité LCB-FT et les textes français. Une question sur le traitement d’un proche d’une PPE ne peut pas être confiée à un support purement technique.
Les engagements de service portent sur la disponibilité de l’outil, les délais de correction, de mise à jour d’une liste et de réponse. Ils doivent figurer au contrat.
La veille réglementaire intégrée signifie que le fournisseur suit les modifications des textes et adapte l’outil sans intervention de votre part. Demandez la fréquence des mises à jour ainsi que leur mode de déploiement.
Le rythme des mises à jour conditionne la capacité d’évolution du dispositif. Un moteur qui n’évolue pas pendant plusieurs années devient obsolète. Privilégiez un fournisseur qui publie une nouvelle version tous les quatre à six mois.
Combien coûte un changement de fournisseur ?
Le coût se mesure en coût total de possession, et non uniquement en prix de licence. Six postes le composent.
| Poste | Ce qu’il recouvre | À demander au fournisseur |
| Licence ou abonnement | Droit d’usage de l’outil, selon le volume criblé | L’unité de facturation et son évolution avec le portefeuille |
| Données | Listes de sanctions, bases de PPE, autres sources | Ce qui est inclus et ce qui se contracte à part |
| Intégration et reprise | Raccordement au système d’information, reprise du paramétrage et des historiques | La part réalisée par le fournisseur et celle qui reste à vos équipes |
| Exploitation | Temps passé par les analystes à traiter les alertes | Une mesure du volume d’alertes sur votre jeu d’essai |
| Maintenance et évolutions | Mises à jour, veille réglementaire, nouvelles versions | Ce qui est compris dans le contrat et à quel rythme |
| Sortie | Restitution des données et des historiques en fin de contrat | Le format de restitution et son coût |
La licence est facturée selon le volume criblé, qui peut correspondre au nombre de clients en portefeuille, de transactions ou d’appels API. Demandez comment cette unité évolue avec la croissance de votre activité. Les données peuvent être incluses ou facturées séparément : vérifiez précisément ce que couvre le contrat.
L’intégration et la reprise représentent souvent le poste le plus lourd. Le raccordement du nouvel outil à votre système, la reprise du paramétrage ainsi que la migration des listes blanches et des historiques demandent du temps. Demandez ce que le fournisseur prend en charge et ce qui reste à la charge de vos équipes.
L’exploitation constitue le coût récurrent lié au temps consacré au traitement des alertes. Un moteur qui réduit les faux positifs diminue durablement ce coût. La maintenance et les évolutions couvrent les mises à jour, la veille réglementaire et les nouvelles versions. En mode SaaS, ces évolutions sont déployées automatiquement.
La sortie conditionne votre capacité à changer de nouveau de fournisseur. Demandez dans quel format vous récupérerez vos données à la fin du contrat.
Que montrer à votre autorité de contrôle après la bascule ?
L’établissement reste responsable de son dispositif, y compris lorsqu’il recourt à un prestataire. Vous devez pouvoir démontrer que le contrôle n’a jamais été interrompu et que le nouveau dispositif est au moins aussi efficace que l’ancien.
Le dossier de migration réunit six pièces. La décision motivée explique pourquoi le changement était nécessaire en présentant les limites constatées, les mesures prises et les critères de choix. Le cahier des charges liste les exigences que le nouveau dispositif devait remplir. Il traduit les limites de l’ancien en critères objectifs, tels que la couverture des listes, le taux de faux positifs, le délai de mise à jour, la langue du support et l’hébergement.
Le rapport d’écarts issu de la double exécution compare les alertes levées par l’ancien et le nouveau dispositif sur les mêmes données, puis explique chaque différence. Le procès-verbal de bascule acte la date et l’heure de l’arrêt de l’ancien outil et du démarrage du nouveau. Il précise que le criblage n’a pas été interrompu.
Les procédures mises à jour décrivent le fonctionnement du nouveau dispositif : qui le paramètre, qui traite les alertes, qui valide les listes blanches et qui suit les mises à jour. L’accès aux archives de l’ancien outil garantit que les décisions passées restent consultables pendant la durée réglementaire. Si les historiques n’ont pas été repris techniquement dans le nouvel outil, conservez un accès en lecture.
Constituez le jeu d’essai tiré de votre base avant de lancer le projet. Cet échantillon représentatif de votre portefeuille doit comprendre des PPE connues, des homonymes récurrents et des cas limites déjà instruits. Il sert à comparer les fournisseurs sur vos propres données, puis à valider le paramétrage avant la bascule.
Découvrez AP Scan, solution de criblage des PPE et des sanctions. Pour un dispositif ancien, un guide détaille comment moderniser un dispositif LCB-FT vieillissant.
FAQ
Combien de temps faut-il pour changer de fournisseur de données PPE et sanctions ?
La durée dépend de trois facteurs : le volume et la qualité des données à reprendre, le nombre de systèmes à raccorder et la durée de double exécution que vous vous imposez. Demandez à chaque fournisseur un calendrier établi selon votre périmètre, accompagné de références d’établissements comparables, plutôt qu’une estimation moyenne qui ne l’engagerait à rien.
Faut-il changer de données quand on change de moteur de criblage ?
Pas nécessairement. Les données et le moteur constituent deux couches distinctes : d’un côté, les listes de sanctions et les bases de PPE ; de l’autre, l’outil qui rapproche les noms et trie les alertes. Si vos difficultés tiennent au volume d’alertes, au paramétrage ou au support, c’est le moteur qu’il faut revoir. Vérifiez toutefois quelles sources le nouveau moteur sait exploiter.
Faut-il recribler toute la base clients au moment de la bascule ?
Un criblage complet de la base au moment de la bascule est le moyen le plus simple de démontrer que le nouveau dispositif couvre tout le portefeuille dès le premier jour. Il fournit également un point de comparaison avec le dernier passage de l’ancien outil. Conservez les deux résultats ainsi que l’analyse des écarts dans le dossier de migration.
Peut-on conserver ses listes blanches et l’historique des alertes ?
Cette reprise doit être prévue dans le cahier des charges. Demandez dans quel format l’ancien fournisseur restitue les listes blanches, les décisions et leurs justifications, puis comment le nouvel outil les reprend. À défaut de reprise technique, gardez un accès en lecture aux archives : un contrôleur peut demander pourquoi une ancienne alerte a été écartée.
Qui doit piloter le changement : la conformité ou l’informatique ?
La conformité porte le besoin et valide les résultats, car elle répond du dispositif devant le superviseur. L’informatique conduit l’intégration et la reprise des données, tandis que les achats encadrent le contrat, la réversibilité et le coût total. Un comité réunissant les trois fonctions, avec un responsable désigné côté conformité, évite un choix fondé sur le seul critère technique.
